A-4467/2025

Bundesverwaltungsgericht

Tribunal administratif fédéral

Tribunale amministrativo federale

Tribunal administrativ federal

Abteilung I

A-4467/2025

Urteil vom 13. Oktober 2026

Besetzung

Richterin Christine Ackermann (Vorsitz),

Richter Stephan Metzger,

Richter Alexander Misic,

Gerichtsschreiber Roland Hochreutener.

Parteien

PostFinance AG,

Mingerstrasse 20, 3030 Bern,

vertreten durch lic. iur. David Rosenthal, Rechtsanwalt,

und lic. iur. Adrian Gautschi, Rechtsanwalt,

Vischer AG,

Schützengasse 1, Postfach, 8021 Zürich 1,

Beschwerdeführerin,

gegen

Eidgenössischer Datenschutz- und

Öffentlichkeitsbeauftragter EDÖB,

Feldeggweg 1, 3003 Bern,

Vorinstanz.

Gegenstand

Datenschutz; Authentifizierung mittels Stimmerkennung;

Verfügung vom 16. Mai 2025.

Sachverhalt:

A. Die PostFinance AG ist eine privatrechtlich organisierte Tochtergesellschaft der Schweizerischen Post AG und bezweckt laut Handelsregister insbesondere die Erbringung diverser Finanzdienstleistungen (Internet-Auszug aus dem Handelsregister des Kantons Bern,, abgerufen am 03.09.2026; vgl. zur gesetzlichen Verpflichtung der Post zur landesweiten Grundversorgung mit Dienstleistungen des Zahlungsverkehrs: Art. 1 Abs. 1 Bst. b und 32 Abs. 1 des Postgesetzes vom 17. Dezember 2010 [PG; SR 783.0], Art. 2 Abs. 2 der Postverordnung vom 29. August 2012 [VPG; SR 783.01]).

B. Im September 2018 führte die PostFinance AG im Kontaktcenter ("Hotline") die Authentifizierung durch Stimmerkennung ein. Auf ihrer Website wies sie unter der Rubrik "Hinweise zum Datenschutz" darauf hin, dass der Stimmabdruck ohne Gesprächsinhalt in Form eines Codewertes auf den Servern in der PostFinance-Sicherheitszone in der Schweiz gespeichert werde. Dabei würden die Stimmabdrücke der Kundinnen und Kunden ausschliesslich zu Authentifikationszwecken verwendet.

Die Kundinnen und Kunden wurden bei ihrem erstmaligen Anruf im Kontaktcenter durch eine automatische Ansage über den Einsatz der Stimmerkennung informiert. Gemäss den auf der Website der PostFinance AG unter der Rubrik "Häufige Fragen" veröffentlichten Informationen hörten sie dabei den folgenden Ansagetext:

"Dieses Gespräch wird zu Sicherheits- und Wiedererkennungszwecken aufgezeichnet. PostFinance erstellt aus der Aufnahme einen Stimmabdruck, um Ihre Identität bei jedem Anruf anhand Ihrer Stimme zu verifizieren. Wünschen Sie keinen Stimmabdruck, bitten wir Sie, dies dem Kundenbetreuer mitzuteilen."

Über die Authentifizierung mit Stimmerkennung informierte die PostFinance AG zudem wie folgt:

"Von Kundinnen und Kunden mit Wohnsitz in der Schweiz legen wir nach dem Gespräch einen Stimmabdruck an. Falls Sie die Stimmerkennung nicht wünschen, können Sie dies dem Kundenbetreuer jederzeit mitteilen oder die Stimmerkennung selbständig im E-Finance deaktivieren. In diesem Fall wird kein Stimmabdruck angelegt. Kundinnen und Kunden mit Wohnsitz im Ausland (inkl. Liechtenstein) sprechen wir darauf an und fragen sie, ob sie einverstanden sind, dass wir einen Stimmabdruck von ihnen anlegen."

C.

C.a Mit Schreiben vom 21. Mai 2019 nahm der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) Bezug auf die mit der PostFinance AG geführten Besprechungen vom 15. November 2017 und 7. August 2018. Darin teilte er der Gesellschaft mit, dass bei der aktuellen Ausgestaltung der Authentifizierung Kunden beim Anruf mit einer automatischen Ansage über den Einsatz der Stimmerkennung informiert würden. Laut seinen Abklärungen würden ausländische Kunden im anschliessenden Kundengespräch ausdrücklich gefragt, ob sie mit der Stimmerkennung einverstanden seien. Inländische Kunden müssten sich demgegenüber von sich aus gegen eine Stimmerkennung aussprechen. Schweizer Kunden würden dadurch gegenüber ausländischen Kunden benachteiligt. Der EDÖB forderte die PostFinance AG deshalb auf, ihn vollständig über die aktuelle Situation zu informieren und ihre Absicht für die Zukunft darzulegen.

C.b Am 13. Juni 2019 nahm die PostFinance AG dahingehend Stellung, dass bei den Kunden ein Bedürfnis nach einer einfachen, schnellen und sicheren Authentifizierungslösung bestehe. Nach Einholung einer Drittmeinung im Rahmen einer erneuten Prüfung der rechtlichen Konformität habe sie entschieden, ab dem 15. November 2018 den Prozess anzupassen und gemäss der ursprünglich angedachten Lösung weiterzufahren. Danach würden Kunden im Rahmen einer automatischen Ansage darüber informiert, dass ein Stimmabdruck angelegt werde, sofern sie dies nicht ausdrücklich ablehnen würden. Die differenzierte Behandlung der In- und Auslandskunden bezwecke weder eine Schlechter- noch eine Besserstellung der Betroffenen, sondern trage den unterschiedlichen Anforderungen des jeweils anwendbaren Rechts Rechnung.

C.c Am 9. April 2024 erkundigte sich der EDÖB bei der PostFinance AG, ob sie mittlerweile - insbesondere vor dem Hintergrund des per 1. September 2023 angepassten Datenschutzrechts - eine Gleichbehandlung schweizerischer und ausländischer Kunden umgesetzt habe oder eine solche anstrebe.

C.d Die PostFinance AG führte dazu mit Antwortschreiben vom 30. April 2024 im Wesentlichen aus, dass sie sich bei der Erstellung des Stimmabdrucks sowohl auf ein berechtigtes überwiegendes Eigeninteresse als auch auf die Kundeninteressen stütze. Aus datenschutzrechtlicher Sicht sei auch nach dem revidierten Recht eine Einwilligung nicht erforderlich. Dennoch gebe sie dem Anrufer die Möglichkeit, der Erstellung eines Stimmabdrucks zu widersprechen. Allein aus strafrechtlicher Sicht sei die Einholung einer Einwilligung geboten; diese könne allerdings auch konkludent erfolgen. Zudem stehe es ihr frei, inländische und ausländische Kunden entsprechend dem jeweils anwendbaren Recht unterschiedlich zu behandeln. Sie halte sich stets an das geltende Recht der jeweils anwendbaren Rechtsordnung. Darin könne keine ungerechtfertigte Ungleichbehandlung erblickt werden.

C.e Am 4. September 2024 teilte der EDÖB der PostFinance AG mit, dass er gegen sie eine Untersuchung eingeleitet habe. Darin werde erstens die Rechtsfrage geprüft, ob mit der Bearbeitung der Stimmabdrücke zum Zweck der Kundenidentifizierung die Persönlichkeit der Schweizer Kundinnen und Kunden im Sinne von Art. 30 des Bundesgesetzes über den Datenschutz (Datenschutzgesetz, DSG; SR 235.1) verletzt werde. Zweitens werde abgeklärt, ob eine allfällige Persönlichkeitsverletzung durch überwiegende Interessen der Bank im Sinne von Art. 30 Abs. 1 DSG (recte: Art. 31 Abs. 1 DSG) gerechtfertigt werde oder ob die Bearbeitung dieser Daten ohne die ausdrückliche Einwilligung der betroffenen Personen gegen die Datenschutzvorschriften verstosse. Zudem gab er der PostFinance AG Gelegenheit, innert der Frist von 30 Tagen zum dargelegten Sachverhalt Stellung zu nehmen und allfällige neue rechtliche Aspekte vorzubringen.

C.f Innert erstreckter Frist nahm die PostFinance AG am 4. November 2024 Stellung und beantragte, es sei die Untersuchung einzustellen und als gegenstandslos geworden abzuschreiben. Zur Wahrung des Gehörsanspruchs sei ihr der Entwurf der vorgesehenen Verfügung vor deren Erlass zuzustellen; darüber hinaus sei ihr vor Erlass einer Verfügung die Möglichkeit einer unmittelbaren Verhandlung mit dem EDÖB einzuräumen.

C.g Am 13. März 2025 teilte der EDÖB der PostFinance AG mit, dass er die von ihr beantragten Korrekturen und Ergänzungen des Sachverhalts geprüft habe und soweit relevant berücksichtigen werde. Das rechtliche Gehör beinhalte allerdings keinen Anspruch auf Zustellung eines Entwurfs der vorgesehenen Verfügung. Von der Durchführung einer Verhandlung sehe er zum gegenwärtigen Zeitpunkt ab; eine solche würde denn auch nur Sinn machen, wenn sich die PostFinance AG im Rahmen der Untersuchung bereit erklären würde, freiwillig einen rechtskonformen Zustand herzustellen.

C.h Mit Schreiben vom 20. März 2025 ersuchte die PostFinance AG den EDÖB um Durchführung einer persönlichen Besprechung.

C.i Am 3. April 2025 nahm der EDÖB das Angebot zur Durchführung einer Besprechung über alternative Ansätze zum Einwilligungsverfahren bei der Authentifizierung mittels Stimmerkennung an. Gleichzeitig bat er die PostFinance AG, ihm die möglichen Umsetzungsvarianten zusammen mit den Terminvorschlägen vorab schriftlich zu übermitteln.

C.j Mit Antwortschreiben vom 16. April 2025 unterbreitete die PostFinance AG dem EDÖB zwei Terminvorschläge und skizzierte ihm im Sinne eines unpräjudiziellen Vorschlags die vorgesehene Einführung des neuen, automatisierten Sprachverarbeitungssystems.

C.k Am 24. April 2025 teilte der EDÖB der PostFinance AG mit, dass er entsprechend seinem Schreiben vom 13. März 2025 keinen weiteren Schriftenwechsel in Bezug auf die sich stellenden Rechtsfragen vorsehe, weshalb für einen erneuten mündlichen Austausch über rechtliche Einschätzungen kein Raum bestehe. Sofern die bearbeitungsverantwortliche Person während der Untersuchung die notwendigen Massnahmen getroffen habe, um die Einhaltung der Datenschutzvorschriften wiederherzustellen, könne er sich in Anwendung von Art. 51 Abs. 5 DSG darauf beschränken, die Untersuchung mit einer Verwarnung abzuschliessen. Eine "unpräjudizielle" Inaussichtstellung einer summarisch skizzierten Anpassung der Bearbeitung "gegen Anfang nächsten Jahres" erfülle die Voraussetzungen dieser Bestimmung nicht. Vor diesem Hintergrund sehe er von einem Treffen ab und werde das Verfahren mit dem Erlass einer Verfügung abschliessen.

C.l Mit Verfügung vom 16. Mai 2025 verpflichtete der EDÖB die PostFinance AG, von betroffenen Personen bei Erstellung von Stimmabdrücken zur Authentifizierung durch Stimmerkennung eine ausdrückliche Einwilligung einzuholen (Dispositiv-Ziff. 1). Zudem verpflichtete er sie, diejenigen Stimmabdrücke zu löschen, bei denen keine Einwilligung der betroffenen Personen vorliegt (Dispositiv-Ziff. 2). Für die Umsetzung dieser Verpflichtungen setzte er der PostFinance AG eine Frist bis spätestens 1. Oktober 2025, unter Einräumung der Möglichkeit zur Verlängerung auf begründeten Antrag hin (Dispositiv-Ziff. 3).

D. Gegen diese Verfügung des EDÖB (nachfolgend: Vorinstanz) erhob die PostFinance AG (nachfolgend: Beschwerdeführerin) mit Eingabe vom 18. Juni 2025 Beschwerde beim Bundesverwaltungsgericht mit den folgenden Anträgen:

1. Es sei die Verfügung der Vorinstanz vom 16. Mai 2025 (Aktenzeichen: EDÖB-A-31FF3401/3) aufzuheben;

2. Es sei das Verfahren vor der Vorinstanz (Aktenzeichen: EDÖB-A-31FF3401/3) als gegenstandslos geworden abzuschreiben;

3. Eventualiter zu Ziff. 1 und 2 vorstehend sei die Löschung gemäss Dispositiv Ziff. 2 der Verfügung der Vorinstanz vom 16. Mai 2025 (Aktenzeichen: EDÖB-A-31FF3401/3) auf diejenigen Stimmabdrücke zu beschränken, die nach Inkrafttreten des revidierten Bundesgesetzes über den Datenschutz vom 25. September 2020 (DSG, SR 235.1) bzw. seit dem 1. September 2023 erstellt wurden;

4. Subeventualiter zu Ziff. 1-3 vorstehend sei die Sache zur Neubeurteilung im Sinne der Erwägungen an die Vorinstanz zurückzuweisen;

5. Subsubeventualiter zu Ziff. 1-4 vorstehend sei die Frist gemäss Dispositiv Ziff. 3 der Verfügung der Vorinstanz vom 16. Mai 2025 (Aktenzeichen: EDÖB-A-31FF3401/3) neu anzusetzen.

6. Unter Kosten- und Entschädigungsfolge zu Lasten der Vorinstanz.

E. Mit Vernehmlassung vom 6. August 2025 beantragt die Vorinstanz, die Beschwerde vollumfänglich abzuweisen, soweit darauf einzutreten sei.

F. Am 4. September 2025 reichte die Beschwerdeführerin ihre Schlussbemerkungen ein. Sie hält an den gestellten Anträgen und den bisherigen Ausführungen fest.

G. Mit Eingabe vom 3. März 2026 teilte die Beschwerdeführerin dem Bundesverwaltungsgericht mit, dass sie - wie angekündigt - die neue Sprachroboterlösung zur Einholung der Einwilligung für die Stimmerkennung am 16. Februar 2026 eingeführt habe. Dieser Schritt sei nicht aus einer anerkannten Rechtspflicht erfolgt, sondern im Rahmen der kontinuierlichen Innovation und im Bestreben um Gewährleistung stets sicherer und benutzerfreundlicher Lösungen. Der Sachverhalt, auf dem die angefochtene Verfügung beruhe, habe sich entsprechend geändert und sei überholt. Dispositiv-Ziff. 1 der angefochtenen Verfügung sei demnach gegenstandslos geworden und entsprechend aufzuheben.

H. Mit Eingabe vom 25. März 2026 hält die Vorinstanz an ihren Anträgen und ihrer Begründung fest. Zudem macht sie geltend, dass sich aus den Ausführungen der Beschwerdeführerin keine Gegenstandslosigkeit von Dispositiv-Ziff. 1 der angefochtenen Verfügung ergebe.

I. Mit Instruktionsverfügung vom 11. Juni 2026 wurde den Parteien der Wechsel der instruierenden Richterperson angezeigt.

J. Auf die weiteren Vorbringen der Parteien und die sich bei den Akten befindlichen Dokumente wird - soweit entscheidrelevant - in den nachfolgenden Erwägungen eingegangen.

Das Bundesverwaltungsgericht zieht in Erwägung:

1.

1.1 Das Bundesverwaltungsgericht beurteilt gemäss Art. 31 VGG Beschwerden gegen Verfügungen nach Art. 5 VwVG, sofern - wie im vorliegenden Fall - keine Ausnahme nach Art. 32 VGG vorliegt. Als Vorinstanzen gelten gestützt auf Art. 33 Bst. d VGG unter anderen die der Bundeskanzlei administrativ zugeordneten Dienststellen der Bundesverwaltung.

Der EDÖB ist administrativ der Bundeskanzlei zugeordnet; er handelt als (organisatorisch verselbstständigte) Verwaltungseinheit der dezentralen Bundesverwaltung (Art. 43 Abs. 4 DSG; Anhang 1 Bst. A Ziff. 2.1.1 der Regierungs- und Verwaltungsorganisationsverordnung vom 25. November 1998 [RVOV; SR 172.010.1] und gilt daher als Vorinstanz des Bundesverwaltungsgerichts. Die angefochtene Verfügung stellt zudem ein taugliches Anfechtungsobjekt dar. Das Bundesverwaltungsgericht ist somit zur Beurteilung der vorliegenden Beschwerde zuständig. Das Verfahren richtet sich nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG).

1.2

1.2.1 Zur Beschwerde ist gemäss Art. 48 Abs. 1 VwVG berechtigt, wer am Verfahren vor der Vorinstanz teilgenommen hat, durch die angefochtene Verfügung besonders berührt ist und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung besitzt.

1.2.2 Die Beschwerdeführerin hat sich am vorinstanzlichen Verfahren beteiligt und ist als Adressatin der angefochtenen Verfügung sowohl formell als auch materiell beschwert, weshalb sie zur Beschwerde legitimiert ist (vgl. Art. 48 Abs. 1 VwVG).

1.2.3

1.2.3.1 Die Beschwerdeführerin hat dem Bundesverwaltungsgericht am 3. März 2026 mitgeteilt, dass sie die neue Sprachroboterlösung ("NSRL") - wie angekündigt im ersten Quartal 2026, das heisst am 16. Februar 2026 - erfolgreich eingeführt habe, obwohl sie nach dem Datenschutzrecht hierzu nicht verpflichtet gewesen sei. Dispositiv-Ziff. 1 der angefochtenen Verfügung sei deshalb gegenstandslos geworden. Sie halte jedoch vollumfänglich an ihren Rechtsbegehren fest.

1.2.3.2 Gemäss Art. 58 Abs. 3 VwVG setzt die Beschwerdeinstanz die Beschwerde fort, soweit diese durch die neue Verfügung der Vorinstanz nicht gegenstandslos geworden ist. Eine Abschreibung infolge Gegenstandslosigkeit erfolgt zudem, wenn das Rechtsschutzziel nicht mehr erreicht werden kann. Dies ist der Fall, wenn der Streitgegenstand dahinfällt oder das aktuelle Rechtsschutzinteresse nicht mehr gegeben ist (vgl. dazu BGE 145 I 227 E. 5.2-5.4; 137 I 23 E. 1.3.1; Kölz/Häner/Bertschi/Bundi, Verwaltungsverfahren und Verwaltungsrechtspflege des Bundes, 4. Aufl. 2025, Rz. 696 und 1146 ff.).

1.2.3.3 Die Vorinstanz hat im konkreten Fall weder eine Wiedererwägung vorgenommen noch das Begehren der Beschwerdeführerin anerkannt. Sie hält zudem auch weiterhin an der angeordneten Verpflichtung gemäss Dispositiv-Ziff. 1 der angefochtenen Verfügung fest, wonach die Beschwerdeführerin von den betroffenen Personen eine ausdrückliche Einwilligung einzuholen habe. Damit fällt eine Gegenstandslosigkeit infolge Wiedererwägung oder Anerkennung ausser Betracht. Der Streitgegenstand ist ebenfalls nicht weggefallen, nachdem die Parteien weiterhin divergierende Positionen hinsichtlich der angeordneten Verpflichtung zur Einholung einer ausdrücklichen Einwilligung vertreten und nach wie vor ein Rechtsschutzinteresse an der verbindlichen Klärung der Rechtsfrage haben. Hinzu kommt, dass die Vorinstanz laut glaubhaften Angaben in ihrer Stellungnahme vom 25. März 2026 noch keine Informationen zur Umsetzung des Verfahrens mit Einholung einer ausdrücklichen Einwilligung erhalten hat. Sie hat demnach die Frage der Herstellung eines rechtskonformen Zustands bisher noch nicht verbindlich beurteilen können. Umstritten und zu klären bleibt darüber hinaus die Frage der Löschung der Daten. Daraus folgt, dass weder die Beschwerde an sich noch Teile davon gegenstandslos geworden zu betrachten sind.

1.2.4 Auf die im Übrigen frist- und formgerecht eingereichte Beschwerde (Art. 50 Abs. 1 und Art. 52 Abs. 1 VwVG) ist somit einzutreten.

2. Das Bundesverwaltungsgericht überprüft die angefochtene Verfügung auf Verletzungen von Bundesrecht - einschliesslich der unrichtigen oder unvollständigen Feststellung des Sachverhaltes und Überschreitung oder Missbrauch des Ermessens - sowie auf Angemessenheit hin (Art. 49 VwVG). Es wendet das Recht von Amtes wegen an und ist an die Begründung der Begehren der Parteien nicht gebunden (Art. 62 Abs. 4 VwVG).

3. In verfahrensrechtlicher Hinsicht rügt die Beschwerdeführerin eine Verletzung des Anspruchs auf rechtliches Gehör.

3.1 Zur Begründung bringt sie vor, die Vorinstanz habe zum einen weder geprüft noch begründet, ob es ein milderes Mittel als die Löschung der Daten gebe; zum anderen habe sie auch nicht dargelegt, inwiefern die Löschungsanordnung verhältnismässig sein soll.

3.2 Die Begründungspflicht folgt aus dem verfassungsmässigen Anspruch auf rechtliches Gehör (Art. 29 Abs. 2 der Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999 [BV; SR 101]; statt vieler BGE 150 III 1 E. 4.5). Für das Verfahren vor Bundesverwaltungsbehörden ergibt sie sich zudem unmittelbar aus Art. 35 Abs. 1 VwVG. Grundsätzlich wird verlangt, dass die Begründung die Betroffenen in die Lage versetzt, die Tragweite der Entscheidung zu beurteilen und sie in voller Kenntnis der Umstände anzufechten (BGE 140 II 262 E. 6.2; Urteil des BGer 1C_597/2020 vom 14. Juni 2021 E. 5.1 und Urteil des BVGer A-4729/2020 vom 24. November 2022 E. 5.3.3).

Im Zusammenhang mit der Anwendung von Art. 51 Abs. 1 DSG kommt der Vorinstanz ein erheblicher Ermessensspielraum zu. Aus der Verfügung muss indes hervorgehen, aus welchen Gründen die Vorinstanz die Massnahme angeordnet hat und ob sie die auf dem Spiel stehenden Interessen abgewogen und den Grundsatz der Verhältnismässigkeit beachtet hat.

3.3 Diesen Anforderungen wird die angefochtene Verfügung nicht hinreichend gerecht. Die Vorinstanz hat insbesondere nicht dargelegt, von welchen Überlegungen sie sich bei der Abwägung der Interessen hat leiten lassen und ob sie mit Rücksicht auf das Verhältnismässigkeitsprinzip Alternativen geprüft hat (vgl. auch Urteile des BVGer A-4725/2020 vom 1. Februar 2023 E. 8.4.2 f. und A-5489/2022 vom 18. Februar 2025 E. 7.3). Folglich liegt eine Verletzung der Begründungspflicht vor.

3.4 Die Verletzung des rechtlichen Gehörs führt grundsätzlich dazu, dass der formell mangelhafte Entscheid der Vorinstanz aufgehoben wird. Doch können im Beschwerdeverfahren Verfahrensmängel unter Umständen geheilt bzw. die unterbliebene Gewährung des rechtlichen Gehörs nachgeholt werden (BGE 137 I 195 E. 2.3.2), nicht zuletzt bei Verstössen gegen die Begründungspflicht (vgl. Urteile des BVGer A-1822/2021 vom 7. September 2022 E. 3.3, A-4725/2020 vom 1. Februar 2023 E. 8.4.3 und A-4639/2022 vom 29. August 2023 E. 6.2.3 ff.). Im konkreten Fall ist eine Heilung gerechtfertigt, da die Gehörsverletzung nur einen Teilaspekt der Verfügung betrifft und nicht allzu schwer wiegt. Eine Rückweisung würde überdies zu einem formalistischen Leerlauf und unnötigen Verzögerungen führen.

Die Verletzung der Begründungspflicht kann somit im Beschwerdeverfahren geheilt und eine Prüfung in der Sache vorgenommen werden. Der Gehörsverletzung ist jedoch bei der Regelung der Kosten- und Entschädigungsfolgen angemessen Rechnung zu tragen (E. 12).

4. In materieller Hinsicht ist zu prüfen, ob die Vorinstanz die Beschwerdeführerin zu Recht verpflichtet hat, von betroffenen Personen bei der Erstellung von Stimmabdrücken zur Authentifizierung durch Stimmerkennung eine ausdrückliche Einwilligung einzuholen sowie diejenigen Stimmabdrücke zu löschen, bei welchen keine ausdrückliche Einwilligung der betroffenen Personen vorliegt.

5.

5.1 Die Vorinstanz hält im Wesentlichen fest, im konkreten Fall würden im Rahmen des Stimmerkennungssystems Stimmabdrücke bearbeitet, die eine eindeutige Identifizierung einer natürlichen Person erlaubten. Es bestehe kein Zweifel, dass eine Bearbeitung von Personendaten erfolge. Bei den Stimmabdrücken handle es sich um besonders schützenswerte biometrische Daten. Eine Persönlichkeitsverletzung liege gemäss Art. 30 Abs. 2 Bst. a DSG namentlich vor, wenn Personendaten entgegen den Grundsätzen von Art. 6 und 8 DSG bearbeitet würden. Die Bearbeitung von Personendaten müsse verhältnismässig sein. Eine Massnahme wie die Authentifizierung durch Stimmerkennung und die damit verbundene Speicherung von Stimmabdrücken habe zu unterbleiben, wenn eine gleich geeignete, aber mildere Massnahme für den angestrebten Zweck ausreichen würde. Der Beschwerdeführerin stünden für die Authentifizierung mildere Mittel, wie das Stellen von Sicherheitsfragen, zur Verfügung. Die Erstellung von Stimmabdrücken zwecks Authentifizierung mittels Stimmerkennung widerspreche dem Gebot der Erforderlichkeit und der Zumutbarkeit und verletze folglich den Grundsatz der Verhältnismässigkeit.

Eine Missachtung der Datenbearbeitungsgrundsätze stelle eine Persönlichkeitsverletzung dar. Diese sei widerrechtlich, sofern sie nicht durch eine Einwilligung, ein überwiegendes privates oder öffentliches Interesse oder durch das Gesetz gerechtfertigt sei. Eine gesetzliche Grundlage für die Authentifizierung durch Stimmerkennung liege nicht vor. Die von der Beschwerdeführerin geltend gemachten Sicherheits- und Effizienzinteressen vermöchten keinen Rechtfertigungsgrund für den Eingriff in die Persönlichkeitsinteressen zu begründen. Auch die mit einer Umstellung der bestehenden Lösung verbundenen Unannehmlichkeiten und der damit einhergehende zusätzliche Arbeitsaufwand stellten keine hinreichende Rechtfertigung dar. Die gesetzliche Voraussetzung der ausdrücklichen Zustimmung sei bei der von der Beschwerdeführerin eingesetzten Authentifizierungslösung nicht erfüllt. Kundinnen und Kunden, die den Einsatz der Stimmerkennung ablehnen würden, müssten vielmehr selbst aktiv werden, indem sie dies dem Kundenbetreuer mitteilen oder die Option der Stimmerkennung auf der Website der Beschwerdeführerin deaktivieren müssten.

5.2 Die Beschwerdeführerin wendet dagegen im Wesentlichen ein, sie habe bereits vor Erlass der angefochtenen Verfügung die Entscheidung getroffen und der Vorinstanz auch kommuniziert, dass sie auf eine Authentifizierungslösung mittels eines "Ja" umzustellen gedenke. Sie habe die Umstellung nicht vorgenommen, weil sich ihre rechtliche Auffassung geändert hätte, sondern weil sich eine neue technische Lösung geboten habe, die ohne Sicherheits- und Effizienzverluste einen höheren (aber rechtlich nicht notwendigen) Datenschutz-Standard ermögliche. Die nunmehr in der angefochtenen Verfügung verlangten Anpassungen hätten erhebliche Auswirkungen auf die Zeitplanung und den erforderlichen Umsetzungsaufwand. Insbesondere koste das von der Vorinstanz geforderte Vorgehen alle Beteiligten massiv mehr Zeit. Das neu eingeführte Verfahren der Stimmauthentifizierung bringe einen beträchtlichen Zeitgewinn für alle Beteiligten und sie spare damit auch Kosten in der Höhe von Fr. 720'000.-. Das Verfahren zur Stimmerkennung sei seit mehr als sechs Jahren erfolgreich im Einsatz und erfreue sich grosser Beliebtheit. Es sei zudem sicher und für den Kunden risikolos. Die Vorinstanz stütze ihr Vorgehen allein auf die biometrische Natur der Daten, ohne konkrete Gefahren zu benennen.

Sie plane, im ersten Quartal 2026 einen neuen Sprachroboter einzuführen, der in der Lage sein werde, die Anrufer im Callcenter bereits vor dem Gespräch zeitsparend zu fragen, ob sie der Erstellung und Verwendung eines Stimmabdrucks zur sicheren Identifizierung zustimmten. Nur wenn der Anrufer diese Frage bejahe, werde ein entsprechender Stimmabdruck erstellt. Die von der Vorinstanz geforderte Löschung der vorhandenen Daten führe zu einem unnötigen Zusatzaufwand. Auch die geforderte Umsetzung per 1. Oktober 2025 führe zu einem Mehraufwand, da der effiziente Sprachroboter erst im Verlauf des ersten Quartals 2026 zur Verfügung stehe. Eine Anfechtung der Verfügung sei erstens unumgänglich gewesen, weil die von der Vorinstanz angesetzte Frist bis zum 1. Oktober 2025 für die ohnehin geplante Umsetzung zu kurz bemessen sei. Zweitens erweise sich die von der Vorinstanz angeordnete Verpflichtung zur Löschung als unverhältnismässig.

In rechtlicher Hinsicht sei entscheidend, dass die Bearbeitung biometrischer Daten weder unter dem alten noch unter dem neuen Recht eine Einwilligung oder einen sonstigen Rechtfertigungsgrund erfordere. Entgegen der Argumentation der Vorinstanz sei die Authentifizierung mittels Stimmabdrucks weder unverhältnismässig noch unzumutbar. Weshalb ein Stimmabdruck nicht notwendig sein soll, werde von der Vorinstanz nicht begründet. Selbst wenn eine Persönlichkeitsverletzung vorläge, wäre diese sowohl durch ein überwiegendes Interesse als auch durch die ausdrückliche Einwilligung gerechtfertigt. Die unter dem alten Recht eingeholten Einwilligungen seien auch nach Inkrafttreten des neuen DSG noch gültig. Die Anordnungen der Vorinstanz seien unbegründet und unverhältnismässig.

6. Das DSG ist am 1. September 2023 in Kraft getreten und hat das aDSG abgelöst. Gemäss Art. 70 DSG gilt das DSG nicht für Untersuchungen der Vorinstanz, die im Zeitpunkt seines Inkrafttretens hängig sind. Zur Gewährleistung der Rechtssicherheit und Einhaltung des Grundsatzes von Treu und Glauben unterstehen diese Untersuchungen des Beauftragten dem bisherigen Recht.

Aus dem vorstehend dargelegten Sachverhalt ergibt sich, dass die Vor-instanz die Untersuchung am 4. September 2024 eröffnet hat. Damit ist die Eröffnung nach dem Inkrafttreten des neuen DSG erfolgt. Anwendbar sind demzufolge das am 1. September 2023 in Kraft getretene DSG sowie die hierzu ergangene Verordnung über den Datenschutz vom 31. August 2022 (Datenschutzverordnung, DSV; SR 235.11; in Kraft getreten am 1. September 2023; Art. 47 DSV).

7.

7.1 Art. 13 BV schützt die verschiedenste Aspekte umfassende Privatsphäre mit ihren spezifischen Bedrohungsformen (BGE 133 I 77 E. 3.2 m.H.); er schützt insbesondere vor dem Missbrauch persönlicher Daten (Art. 13 Abs. 2 BV; BGE 147 I 463 E. 6.4). Das verfassungsmässige Recht auf informationelle Selbstbestimmung umfasst zudem jeden Umgang mit personenbezogenen Daten. Es wird zu einem grossen Teil im DSG konkretisiert. Der Schutzgehalt von Art. 13 Abs. 2 BV umfasst die datenschutzrechtlichen Grundsätze der Rechtmässigkeit, der Bearbeitung nach Treu und Glauben, der Transparenz, der Zweckbindung, der Verhältnismässigkeit, der Richtigkeit und der Datensicherheit (Giovanni Biaggini, Bundesverfassung der Schweizerischen Eidgenossenschaft, 2. Aufl. 2017, Art. 13 Rz. 13; Sophia Rovelli, Einsatz von KI in der Verwaltung, 2025, S. 96). Das verfassungsmässige Recht auf informationelle Selbstbestimmung (Schutz der "informationellen Integrität") garantiert, dass - grundsätzlich ohne Rücksicht darauf, wie sensibel die fraglichen Informationen tatsächlich sind - jede Person gegenüber fremder, staatlicher oder privater Bearbeitung von sie betreffenden Informationen bestimmen können muss, ob und zu welchem Zweck diese Informationen über sie bearbeitet werden dürfen. Es gewährleistet damit dem Einzelnen, grundsätzlich selber darüber zu bestimmen, wem und wann er persönliche Lebenssachverhalte, Gedanken, Empfindungen oder Emotionen offenbart (BGE 148 I 233 E. 3.1; 147 I 346 E. 5.3.1; 146 I 11 E. 3.1.1; 145 IV 42 E. 4.2; 144 I 126 E. 4.1; 144 II 91 E. 4.4; 142 II 340 E. 4.2; 140 I 2 E. 9.1; 138 II 346 E. 8.2; je m.w.H.; vgl. für eine Übersicht über die Rechtsprechung und Lehre: Tobias Fasnacht, Die Einwilligung im Datenschutzecht, 2017, S. 46 ff. und S. 51 ff.; Jörg Paul Müller/Markus Schefer, Grundrechte in der Schweiz, 4. Aufl. 2008, S. 167 f.; Rainer J. Schweizer, in: Ehrenzeller/Schindler/Schweizer/Vallender [Hrsg.], Die schweizerische Bundesverfassung, St. Galler Kommentar, 3. Aufl. 2014, Art. 13 Rz. 72 ff.).

7.2 Art. 8 Ziff. 1 EMRK gewährleistet das Recht jeder Person auf Achtung ihres Privat- und Familienlebens. Das von dieser Bestimmung erfasste Recht auf informationelle Selbstbestimmung beinhaltet ebenfalls das Recht der einzelnen Person, selbst bestimmen zu dürfen, welche Daten über sie erfasst, verarbeitet oder verbreitet werden. In negativer Hinsicht umfasst es den Schutz vor unmittelbaren staatlichen Eingriffen in die Privatsphäre, vor unberechtigtem oder übermässigem Sammeln sowie vor einer unerlaubten Weitergabe oder Veröffentlichung von persönlichen Informationen (vgl. Urteile des EGMR Hurbain gegen Belgien vom 4. Juli 2023, Nr. 57292/16, § 190; Satakunnan Markkinapörssi Oy und Satamedia Oy gegen Finnland, vom 27. Juni 2017, Nr. 931/13, § 137). In positiver Hinsicht werden die Staaten verpflichtet, die Daten von Privaten gegen Eingriffe durch Dritte zu schützen (Barbara von Rütte/Nesa Zimmermann, in: Keller/Hertig Randall [Hrsg.], Basler Kommentar, Europäische Menschenrechtskonvention, 2026 [nachfolgend: BSK-EMRK], Art. 8 Rz. 56 m.w.H.; Urteil des EGMR I. gegen Finnland vom 17. Juli 2008, Nr. 20511/03, § 36; Astrid Epiney/Nula Frei, in: Bieri/Powell [Hrsg.], Kommentar zum schweizerischen Datenschutzgesetz mit weiteren Erlassen, 2023, Völker- und europarechtliche Einbettung des DSG [nachfolgend: OFK DSG], Rz. 6 f., m.w.H.). Der Schutzbereich von Art. 8 EMRK ist bereits eröffnet, wenn Daten gesammelt, gespeichert oder sonst verarbeitet werden (Urteil des EGMR Amann gegen Schweiz vom 16. Februar 2000, Nr. 27798/95, § 70). Nach der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (EGMR) werden bei besonders sensiblen Daten, zu denen auch biometrische Daten gehören, hohe Anforderungen an den Schutz der Privatsphäre gestellt (Urteil des EGMR Gaughran gegen Grossbritannien vom 13. Februar 2020, Nr. 45245/15, §§ 81-84).

7.3 Das Datenschutzgesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden (Art. 1 DSG). Der Begriff der Persönlichkeit wird im Gesetz nicht näher umschrieben. Er ist in einem weiten Sinn zu verstehen und umfasst alle physischen, psychischen und moralischen Werte einer Person, die ihr kraft ihrer Existenz zukommen (Botschaft zum Bundesgesetz über den Datenschutz [DSG] vom 23. März 1988; BBl 1988 II 413, S. 418). Die Persönlichkeit umfasst dabei sowohl physische und psychische als auch soziale Schutzbereiche. Zu letzteren gehören insbesondere das Recht auf Namen und andere Identifikationsmerkmale, das Recht auf Privatsphäre, das informationelle Selbstbestimmungsrecht, das Recht am eigenen Bild, am eigenen Wort und an der eigenen Stimme (Marco Frey, in: Baeriswyl/Pärli/Blonski [Hrsg.], Stämpflis Handkommentar zum DSG, 2. Aufl. 2023, [nachfolgend: Handkommentar DSG], Art. 34 Rz. 5 ff.). Das DSG gilt insbesondere auch für die Bearbeitung von Personendaten natürlicher Personen durch private Personen (Art. 2 Abs. 1 Bst. a DSG). Als Personendaten gelten alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 Bst. a DSG). Als besonders schützenswerte Daten bezeichnet das Gesetz unter anderem biometrische Daten, die eine Person eindeutig identifizieren (Art. 5 Bst. c Ziff. 4 DSG). Der Begriff der Bearbeitung von Personendaten umfasst jeden Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten (Art. 5 Bst. d DSG).

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften (Art. 4 Abs. 1 DSG). Er eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung gegen ein Bundesorgan oder eine private Person, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstösst (Art. 49 Abs. 1 DSG).

7.4 Die materiellen Grundsätze der Datenbearbeitungen werden in Art. 6 DSG umschrieben. Danach müssen Personendaten rechtmässig bearbeitet werden (Abs. 1). Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein (Abs. 2). Personendaten dürfen nur zu einem bestimmten und für die Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist (Abs. 3). Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird (Art. 6 Abs. 6 DSG). Für die Bearbeitung von besonders schützenswerten Personendaten muss die Einwilligung ausdrücklich erfolgen (Art. 6 Abs. 7 Bst. a DSG).

Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit (Art. 8 Abs. 1 DSG). Die Massnahmen müssen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden (Art. 8 Abs. 2 DSG).

7.5 Anders als im öffentlich-rechtlichen Bereich, wo das Legalitätsprinzip die Grundlage für die Bearbeitung von Personendaten bildet (vgl. dazu Art. 34 Abs. 1 DSG; Claudia Mund, Handkommentar DSG, Art. 34 Rz. 5 ff.), ist im privatrechtlichen Bereich das Bearbeiten von Personendaten grundsätzlich erlaubt. Das schweizerische Datenschutzgesetz basiert auf dem Prinzip der "Erlaubnis mit Verbotsvorbehalt". Demnach ist eine Bearbeitung von Daten grundsätzlich zulässig, sofern die Bearbeitungsgrundsätze von Art. 6 DSG und die Datensicherheit im Sinne von Art. 8 DSG eingehalten werden (Lukas Bühlmann/Michael Reinle, Basler Kommentar Datenschutzgesetz/Öffentlichkeitsgesetz, 4. Aufl. 2024 [nachfolgend: BSK DSG], Art. 6 Rz. 5; Gaspare T. Loderer, Kommentierung zu Art. 6 Abs. 6 und 7 DSG, in: Steiner/Morand/Hürlimann (Hrsg.), Onlinekom-mentar zum Bundesgesetz über den Datenschutz [nachfolgend: Onlinekommentar DSG], Art. 6 Rz. 3 f.,, abgerufen am 03.09.2026; Beat Rudin/David Vasella, Datenschutzrecht in a nutshell, 2025, S. 85; Thomas Steiner/Christian Laux, OFK DSG, Art. 30 Rz. 3 f.; Florent Thouvenin, Die Datenschutzerklärung, eine Rechtsfigur mit zwei Gesichtern, in: Wolfgang Portmann et al. [Hrsg.], Gedenkschrift für Claire Huguenin, 2020, S. 464).

7.6 Der Schutz der Persönlichkeit wird in Art. 30 DSG konkretisiert. Wer Personendaten bearbeitet, darf die Persönlichkeit der betroffenen Person nicht widerrechtlich verletzen (Abs. 1). Eine Persönlichkeitsverletzung liegt nach Abs. 2 dieser Bestimmung insbesondere vor, wenn Personendaten entgegen den Grundsätzen nach Art. 6 und 8 bearbeitet werden (Bst. a), Personendaten entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeitet werden (Bst. b) und wenn Dritten besonders schützenswerte Personendaten bekannt gegeben werden (Bst. c).

7.7 Nach der Rechtsprechung des Bundesverwaltungsgerichts und einem Teil der Lehre ist die Rechtmässigkeit gewahrt, soweit mit dem Vorgehen nicht gegen eine Rechtsnorm verstossen wird, die dem Schutz der Persönlichkeit des Betroffenen dient (Urteil des BVGer A-3548/2018 vom 19. März 2019 ["Helsana+"] E. 5.4.3 und E. 5.4.4; Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 24 f.; Phiippe Meier, Protection des données, 2010, Rz. 640; David Rosenthal, in: Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, 2008 [nachfolgend: Handkommentar DSG], Art. 4 Rz. 7; vgl. dazu auch Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 14. November 2017 [nachfolgend: Botschaft DSG 2017], BBl 2017 6941, S. 7070 f.). Ein Teil der Lehre vertritt demgegenüber die Auffassung, dass die Verfolgung von rechtswidrigen Zwecken durch den Verantwortlichen die Datenbearbeitung als solche rechtswidrig erscheinen lässt, und zwar unabhängig davon, ob die verletzte Norm einen Aspekt des Persönlichkeitsschutzes aufweist (Baeriswyl, Handkommentar DSG, Art. 6 Rz. 7 f.; Astrid Epiney/Daniela Nüesch, in: Passadelis/Rosenthal/Thür [Hrsg.], Datenschutzrecht, 2015 [nachfolgend: Datenschutzrecht], Rz. 3.62).

Die (wohl überwiegende) Lehre vertritt sodann die Auffassung, dass die Verletzung der Datenbearbeitungsgrundsätze zur Verletzung der Persönlichkeit der betroffenen Person führt (Baeriswyl, Handkommentar DSG, Art. 6 Rz. 15 f.; Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 9; Astrid Epiney, in: Belser/Epiney/Waldmann, Datenschutzrecht, 2011 [nachfolgend: Datenschutzrecht 2011], § 9 Rz. 3; Epiney/Nüesch, Datenschutzrecht, Rz. 3.59; Reto Fanger, OFK DSG, Art. 6 Rz. 1; Meier, a.a.O., Rz. 626). Diese Auffassung steht auch im Einklang mit der Bestimmung von Art. 30 Abs. 2 Bst. a DSG, wonach eine Verletzung der Datenbearbeitungsgrundsätze gemäss Art. 6 und 8 DSG zu einer Verletzung der Persönlichkeit der betroffenen Person führt (vgl. dazu auch Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 9). Eine Persönlichkeitsverletzung ist widerrechtlich, wenn sie nicht durch Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist (Art. 31 Abs. 1 DSG).

7.8 Wer als Gesprächsteilnehmer ein nichtöffentliches Gespräch, ohne die Einwilligung der anderen daran Beteiligten, auf einen Tonträger aufnimmt, wer eine Aufnahme, von der er weiss oder annehmen muss, dass sie durch eine nach Absatz 1 strafbare Handlung hergestellt wurde, aufbewahrt, auswertet oder einem Dritten zugänglich macht wird, auf Antrag, mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bestraft (Art. 179ter StGB). Nach der Rechtsprechung gilt das Gespräch als nichtöffentlich, wenn sich, in Anbetracht der gesamten Umstände, dessen Teilnehmer in der legitimen Erwartung unterhalten, dass ihre Äusserungen nicht für jedermann verständlich sind. Es ist nicht notwendig, dass sich das Gespräch auf den Geheim- oder Privatbereich bezieht oder in einem persönlichen oder geschäftlichen Kontext erfolgt. Erfasst sind neben der unmittelbaren mündlichen Kommunikation auch Gespräche, die unter Inanspruchnahme von Telekommunikationsanlagen erfolgen (BGE 146 IV 126 E. 2 und E. 3; Wolfgang Wohlers/Gundhild Godenzi/Stephan Schlegel, Schweizerisches Strafgesetzbuch, Handkommentar, Art. 179bis Rz. 2 m.H. und Art. 179ter Rz.1). Im Zusammenhang mit der Handlung des Aufnehmens ist Heimlichkeit nicht erforderlich; wer an einem Gespräch teilnimmt, das - wie er weiss - ohne seine Zustimmung aufgenommen wird, gibt sein Einverständnis, sofern er nicht zur Äusserung genötigt wird (Günther Stratenwerth/guido Jenny/Felix Bommer, Schweizerisches Strafrecht, Besonderer Teil I, Straftaten gegen Individualinteressen, 7. Aufl. 2010, § 12 Rz. 46; Stefan Trechsel/Marianne Johanna Lehmkuhl, in: Trechsel/Pieth [Hrsg.], Schweizerisches Strafgesetzbuch, Praxiskommentar, 4. Aufl. 2021, Art. 179ter Rz. 2).

Weder nach Art. 179bis Abs. 1 noch nach Art. 179ter StGB strafbar macht sich, wer als Gesprächsteilnehmer oder Abonnent eines beteiligten Anschlusses Fernmeldegespräche im Geschäftsverkehr aufnimmt, welche Bestellungen, Aufträge, Reservationen und ähnliche Geschäftsvorfälle zum Inhalt haben (Art. 179quinquies Abs. 1 StGB). Von der Strafbarkeit nicht ausgenommen sind Gesprächsinhalte, die komplexe Verhältnisse zum Inhalt haben. Ohne Einwilligung unzulässig sind dabei Aufnahmen im Rahmen telefonischer Kundenberatungen, des Beschwerdemanagements, von Auskunftsterteilungen und Weitervermittlungen (Peter von Ins/Peter-René Wyder, in: Niggli/Wiprächtiger [Hrsg.], Basler Kommentar, Strafrecht II, 3. Aufl. 2013, Art. 179quinquies Rz. 22 und 25).

7.9 Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO; ABl. Nr. L 119 S. 1, ber. Nr. L 314 S. 72 und ABl. 2018 Nr. L127 S. 2) findet einerseits Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet (§ 3 Abs. 1 DSGVO). Die DSGVO ist andererseits auch anzuwenden auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht, dass den Personen Waren oder Dienstleistungen in der Union angeboten werden (unabhängig von den Zahlungsflüssen) oder dass ihr Verhalten in der Union beobachtet wird (§ 3 Abs. 2 DSGVO; Epiney/Frei, OFK DSG, Völker- und europarechtliche Einbettung des DSG, Rz. 17; Rudin/Vasella, a.a.O., S. 26 f.). Die DSGVO sieht - anders als das DSG (vgl. E. 7.5) - ein grundsätzliches Verbot der Bearbeitung personenbezogener Daten vor, es sei denn, die Bearbeitung könne sich auf eine rechtliche Grundlage gemäss § 6 DSGVO (Einwilligung, Gesetz oder berechtigtes Interesse) stützen (Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 5). Gemäss § 9 Abs. 1 DSGVO unterliegt die Verarbeitung von als besonders schutzwürdig deklarierten Datenkategorien einem strikten Verbot; dazu gehören insbesondere auch biometrische Daten wie Fingerabdrücke, Iriserkennung oder die Stimme (Art. 4 Nr. 14 DSGVO). Dieses Verarbeitungsverbot gilt nicht, wenn die betroffene Person ausdrücklich eingewilligt hat (§ 9 Abs. 2 Bst. a DSGVO). Die Einwilligung muss sich dabei auf die Verarbeitung für einen oder mehrere festgelegte Zwecke beziehen. Zudem ist nicht nur eine stillschweigende und eine mutmassliche, sondern auch eine konkludente Einwilligung ausgeschlossen (Thomas Petri, in: Sinitis/Hornung/Spiecker [Hrsg.], Datenschutzrecht DS-GVO/BDSG, 2. Aufl. 2025, Art. 9 Rz. 32 f.; Sebastian Schulz, in: Gola [Hrsg.], Kommentar zur Datenschutz-Grundverordnung VO [EU] 2016/679, 2. Aufl. 2018, Art. 9 Rz. 16).

8.

8.1 Im vorliegenden Fall ist unbestritten, dass die zur Diskussion stehenden Aufnahmen und Speicherungen eines Stimmabdrucks Bearbeitungen von Personendaten darstellen. Streitig und zu prüfen ist demgegenüber, ob die Bearbeitung nach den gesetzlichen Datenbearbeitungsgrundsätzen gemäss Art. 6 DSG erfolgt und ob für die Sprachaufzeichnung und Erstellung eines Stimmabdrucks eine Einwilligung bzw. eine ausdrückliche Einwilligung erforderlich ist.

8.2 Vorab ist festzuhalten, dass die im Rahmen der Stimmaufnahme und der Erstellung eines Stimmabdrucks erhobenen Daten zweifelsohne besonders schützenwerte Personendaten im Sinne von Art. 5 Bst. c Ziff. 4 DSG darstellen. Denn bei der Erstellung eines Stimmabdrucks handelt es sich um biometrische Daten, die auf einem technischen Verfahren beruhen und die eine eindeutige Identifizierung oder Authentifizierung einer Person ermöglichen (vgl. dazu Botschaft DSG 2017, S. 7020; Baeriswyl, Handkommentar DSG, Art. 5 Rz. 30; Blechta/Molin/Wesiak-Schmidt, BSK DSG, Art. 5 Rz. 72-74; Rovelli, a.a.O. S. 190 f.; Rudin/Vasella, a.a.O., S. 73).

8.3 Auch unter dem Geltungsbereich des neuen Datenschutzrechts erfordert die Bearbeitung von Personendaten nicht generell eine Rechtfertigung. Ist indes eine Einwilligung der betroffenen Person erforderlich, so ist diese nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird (Art. 6 Abs. 6 DSG; s. zum DSG: Art. 17 Abs. 1 Bst. a, Art. 25 Abs. 3, Art. 31 Abs. 1, Art. 34 Abs. 4 Bst. b, Art. 36 Abs. 2 Bst. b und c, Art. 55 Abs. 2 Bst. c Ziff. 1 DSG; Urteil A-3548/2018 ["Helsana+"] E. 4.8). Das Erfordernis der Einwilligung kann sich dabei auch aus anderen Gesetzen ergeben (Julien Francey, in: Benhamou/Cottier [Hrsg.], Loi féderale sur la protection des données, 2023, Art. 6 Rz. 134). Die Erfordernisse der angemessenen Information und Freiwilligkeit sollen sicherstellen, dass die Einwilligung auf einer freien Entscheidung der betroffenen Person beruht (Epiney, Datenschutzrecht 2011, § 9 Rz. 16).

Das Erfordernis der angemessenen Information bedeutet, dass die betroffene Person in den Grundzügen über Gegenstand, Zweck und Umfang der beabsichtigten Datenbearbeitung sowie über die daraus resultierenden Risiken aufzuklären ist. Die Angemessenheit der Information hängt dabei einerseits von der beabsichtigten Datenbearbeitung selbst und andererseits der Intensität des Eingriffs in die Persönlichkeit ab (Baeriswyl, Handkommentar DSG, Art. 6 Rz. 88-92; Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 288 ff.; Fasnacht, a.a.O. Rz. 249 ff.; Samuel Klaus/Kenzo Thomann, OFK DSG, Art. 6 Rz. 25 ff.). Freiwillig ist eine Einwilligung, wenn sich die betroffene Person ohne Druck für oder gegen die Datenbearbeitung entscheiden kann. Sie muss über eine Alternative zur Einwilligung verfügen, die nicht unzumutbar ist (Baeriswyl, Handkommentar DSG, Art. 6 Rz. 94-100; Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 310.; Fasnacht, a.a.O. Rz. 191 f. und 249 ff.; Samuel Klaus/Kenzo Thomann, OFK DSG, Art. 6 Rz. 25 ff.; Foko Oldewurtel, in: Domenig Oldewurtel [Hrsg.], Praxiskommentar zum Datenschutzgesetz, 2026 [nachfolgend: Praxiskommentar DSG], Art. 6 Rz. 35; Rudin/Vasella, a.a.O., S. 190). Freiwilligkeit ist zu bejahen, wenn der Nachteil, der bei einer Nichteinwilligung droht, einen direkten Bezug zu den Daten aufweist, für deren Bearbeitung die Einwilligung eingeholt wird und damit kein unzulässiger Zwang zur Erteilung der Einwilligung vorliegt. Eine Einwilligung gilt nur dann als freiwillig, wenn für die betroffene Person keine unverhältnismässigen Nachteile bei einer Verweigerung entstehen (vgl. dazu BGE 138 I 331 E. 7.4.1; Urteil A-3548/2018 ["Helsana+"] E. 4.7; Oldewurtel, Praxiskommentar DSG, Art. 6 Rz. 37).

Für die Bearbeitung von besonders schützenswerten Personendaten muss die Einwilligung ausdrücklich erfolgen (Art. 6 Abs. 7 Ziff. 1 DSG). Art. 6 Abs. 6 und 7 DSG umschreiben die Anforderungen an eine wirksame Einwilligung. Art. 6 Abs. 7 DSG kommt dann zum Tragen, wenn eine Einwilligung als Rechtfertigungsgrund bei einer Datenbearbeitung durch einen privaten Verantwortlichen notwendig ist (Botschaft DSG 2017, S. 7027; Baeriswyl, Handkommentar DSG, Art. 6 Rz. 101; Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 280; Klaus/Thomann, OFK DSG, Art. 6 Rz. 14).

In der Praxis erfolgen datenschutzrechtliche Einwilligungen häufig im Rahmen von Allgemeinen Vertragsbedingungen (AVB). Dabei werden zwei unterschiedliche Lösungsansätze gewählt: Nach der sog. Opt-Out-Lösung sehen die AVB als Standardverfahren vor, dass die Einwilligung für die vorgesehene Datenbearbeitung vorerst als erteilt gilt; nur durch ein aktives Verhalten kann diese verweigert werden. Demgegenüber bringt die betroffene Person bei der Opt-In-Lösung durch ein aktives Tun zum Ausdruck, dass sie mit der vorgesehenen Bearbeitung einverstanden ist. Fasnacht (a.a.O. Rz. 401 m.H.) weist in diesem Zusammenhang darauf hin, dass auf der Grundlage von Studien behauptet werde, der "Durchschnittsadressat" verhalte sich bei der Erteilung der Einwilligung grundsätzlich passiv. Wenn sich effektiv vier von fünf Personen sowohl bei der Opt-In- als auch bei der Opt-Out-Variante passiv verhielten, würden bei letzterer deutlich mehr datenschutzrechtliche Einwilligungen erteilt.

8.4 Die menschliche Stimme ist ein sehr persönliches, individuelles Merkmal, das eine Person eindeutig charakterisiert und identifiziert. Sie transportiert nicht nur Sprache, sondern auch Emotionen, Gesundheitszustand und Persönlichkeitsmerkmale. Sie ist bei jedem Menschen einzigartig und daher ein wesentlicher Teil seiner Persönlichkeit (Susanne Emmenegger/Martina Reber, Biometrische Daten im Bankkundenverkehr am Beispiel der Stimmauthentifizierung, in: Emmenegger [Hrsg.], Banken und Datenschutz, Basel 2019, S. 168 und 170 f.; vgl. auch TV-Sendung "Einstein: Echt oder KI - Ist unsere Stimme auswechselbar, publiziert am 7. Mai 2025, Ausstrahlung vom 8. Mai 2025; < www.srf.ch/einstein, abgerufen am 03.09.2026). Nach Lehre und Rechtsprechung zählt die Stimme - wie das Recht am eigenen Bild - zum Schutzbereich von Art. 28 ZGB (BGE 110 II 411 E. 3b S. 418 f.; Denis Barrelet/Stéphane Werly, Droit de la communication, 2. Aufl. 2011, Rz. 1560; Andreas Bucher, Natürliche Personen und Persönlichkeitsschutz, 4. Auf. 2009, Rz. 454; Andrea Büchler, ZGB, Orell Füssli Kommentar, 2021, Art. 28 Rz. 9; vgl. zum Recht am eigenen Bild: BGE 138 II 346 E. 8.2, m.w.H.; Marc Bächli, Das Recht am eigenen Bild, 2002, S. 30 f.; vgl. zur Kritik an der Stimmbiometrie: Echo der Zeit vom 17. August 2019, Postfinance erfasst heikle persönliche Daten,, abgerufen am 09.06.2026 >; Tagesanzeiger digital vom 5. März 2019, "Wie unsere Stimme alles über uns verrät",, abgerufen am 03.09. 2026).

Die Aufnahme und Analyse der menschlichen Stimme sowie die Erstellung eines Stimmabdrucks greifen in den höchstpersönlichen Bereich der Persönlichkeit ein, zumal damit neue biometrische Merkmale erfasst, gespeichert und analysiert werden und ein dauerhafter Identifikator geschaffen wird. Das Verfahren ist daher als Persönlichkeitsverletzung einzustufen, und zwar ungeachtet der Beachtung der Bearbeitungsgrundsätze gemäss Art. 6 und 8 DSG (Emmenegger/Reber, a.a.O., S. 171 f.; vgl. zu den Voraussetzungen der Rechtfertigung nachfolgende E. 9.1).

8.5 Aus dem einleitend dargelegten Sachverhalt geht hervor, dass die Beschwerdeführerin das Gespräch bei jedem Telefonanruf zu Sicherheits- und Wiedererkennungszwecken aufzeichnet. Damit steht fest, dass der Vorgang auch unter dem strafrechtlichen Blickwinkel gemäss Art. 179ter StGB (vgl. dazu E. 7.8 hievor) der Zustimmung der Kundin bzw. des Kunden bedarf.

Art. 179ter StGB schützt die Privatsphäre, insbesondere die Vertraulichkeit von privaten Gesprächen (Urteil des BStGer SK.2024.47 vom 6. Februar 2025 E. 12.1.3 m.w.H.). Als Rechtsgut geschützt wird von dieser Strafnorm (analog Art. 179 und 179bis StGB) auch die Privat- und Geheimsphäre als ein dem Einzelnen zur Entwicklung der Persönlichkeit gewährleisteter freier Raum vor der Gemeinschaft, dem Staat und vor anderen Personen (BGE 111 IV 63 E. 2; Trechsel/Lehmkuhl, a.a.O., Art. 179bis Rz. 1 und Art. 179ter Rz. 2). Art. 179ter StGB dient demnach auch dem Schutz der Persönlichkeit der betroffenen Person.

Daraus folgt, dass eine ohne die Einwilligung des Gesprächsteilnehmers erstellte Aufnahme grundsätzlich geeignet ist, gegen Art. 179ter StGB und damit gegen eine den Schutz der Persönlichkeit tangierende Norm zu verstossen und folglich als unrechtmässige Datenbearbeitung im Sinne von Art. 6 Abs. 1 DSG eingestuft werden könnte. Folglich ist das Vorgehen der Beschwerdeführerin auch unter diesem Aspekt als Persönlichkeitsverletzung im Sinne von Art. 30 Abs. 2 Bst. a DSG zu qualifizieren, sofern keine rechtsgültige Einwilligung vorliegt.

8.6 Steht nach dem Gesagten fest, dass die Aufzeichnung des Gesprächs und Erstellung eines Stimmabdrucks einer Einwilligung bedarf, so kommt Art. 6 Abs. 7 DSG zum Tragen. Danach muss die Einwilligung "ausdrücklich" erfolgen für die Bearbeitung von besonders schützenswerten Personendaten (Bst. a). Umstritten und nachfolgend durch Auslegung zu prüfen ist, ob die von der Beschwerdeführerin (zumindest bis zur geltend gemachten Umstellung am 16. Februar 2026) praktizierte Vorgehensweise den gesetzlichen Anforderungen der "Ausdrücklichkeit" gerecht wird.

8.6.1 Ausgangspunkt jeder Auslegung bildet der Wortlaut der massgeblichen Bestimmung. Ist der Text nicht ganz klar und sind verschiedene Auslegungen möglich, so muss nach seiner wahren Tragweite gesucht werden, wobei alle Auslegungselemente zu berücksichtigen sind (sog. Methodenpluralismus). Dabei kommt es namentlich auf den Zweck der Regelung, die dem Text zugrunde liegenden Wertungen sowie auf den Sinnzusammenhang an, in dem die Norm steht. Die Entstehungsgeschichte ist zwar nicht unmittelbar entscheidend, dient aber als Hilfsmittel, um den Sinn der Norm zu erkennen. Vom klaren, das heisst eindeutigen und unmissverständlichen Wortlaut darf nur ausnahmsweise abgewichen werden, wenn triftige Gründe dafür vorliegen, dass der Wortlaut nicht den wahren Sinn der Bestimmung wiedergibt. Solche Gründe können sich aus der Entstehungsgeschichte der Bestimmung, aus ihrem Grund und Zweck oder aus dem Zusammenhang mit andern Vorschriften ergeben (BGE 150 II 26 E. 3.5; 147 II 25 E. 3.3).

8.6.2 In Bezug auf den Wortlaut ist festzuhalten, dass das Adjektiv "ausdrücklich" Eigenschaften wie "besonders, bestimmt, betont, deutlich, eigens, eindeutig, eindringlich, entschieden, extra, in aller Deutlichkeit, kategorisch, klar, mit Nachdruck, nachdrücklich, unmissverständlich, unzweideutig" zum Ausdruck bringt (Duden, Das Synonymwörterbuch, 7. Aufl. 2019, S. 136).

8.6.3 Nach der Botschaft gilt eine Einwilligung im Sinne von Art. 6 Abs. 7 DSG als "ausdrücklich", wenn sie durch geschriebene oder gesprochene Worte oder ein Zeichen erfolgt und der geäusserte Willen aus den verwendeten Worten oder dem Zeichen unmittelbar hervorgeht. Die Willensäusserung als solche muss durch die Art und Weise, in der sie erfolgt, bereits Klarheit über den Willen schaffen. "Ausdrücklich" bedeutet dabei laut Botschaft eine erhöhte Anforderung an die "eindeutige" Einwilligung gemäss Satz 1 der (ursprünglich vorgesehenen) Bestimmung. Zur Klärung der Begrifflichkeiten sind in der französischen und italienischen Version des Textes die Begriffe "explicite" und "esplicito" durch die Bezeichnungen "exprès" und "espresso" ersetzt und damit an die Terminologie von Art. 1 des Schweizerischen Obligationenrechts (OR; SR 220) angepasst worden (Botschaft DSG 2017, S. 7028). Das Erfordernis der Ausdrücklichkeit der Einwilligung für die Bearbeitung besonders schützenswerter Personendaten steht im engen Zusammenhang mit der von der DSG-Revision verfolgten Leitlinie der Stärkung der Rechte der betroffenen Personen (Botschaft DSG 2017, S. 6943 und S. 6971).

8.6.4 Mit Blick auf die Systematik ist zu ergänzen, dass die Regelung des Einwilligungserfordernisses in den Grundsätzen der Datenbearbeitung (Art. 6 DSG) nicht zwingend erscheint (Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 285; Fasnacht, a.a.O. Rz. 225; Philippe Meier/Nicolas Tschumy, in: Meier/Métille [Hrsg.], Loi fédérale sur la protection des données, 2023 [nachfolgend: Commentaire Romand LPD], Art. 6 Rz. 73; vgl. dazu auch Baeriswyl, Handkommentar DSG, Art. 6 Rz. 1-3). Aus der systematischen Stellung der Bestimmung innerhalb des Gesetzes und der Regelung in der Marginalie "Grundsätze" kann deshalb für die hier interessierende Frage nichts Entscheidendes abgeleitet werden. Dass biometrische Daten, die eine natürliche Person eindeutig identifizieren, als besonders schützenswerte Personendaten einzustufen sind, für deren Bearbeitung strengere rechtliche Anforderung gelten, hat der Gesetzgeber mit der Regelung in Art. 5 Bst. c Ziff. 4 DSG verbindlich festgehalten.

In systematischer Hinsicht gilt es mit Blick auf die europäische Regelung zu beachten, dass die betroffene Person im Zusammenhang mit der Bearbeitung von biometrischen Daten gemäss § 9 Abs. 2 Bst. a DSGVO spezifisch in die Verarbeitung für einen oder mehrere festgelegte Zwecke einwilligen und dies zudem ausdrücklich tun muss; eine nur konkludente oder gar nur sinngemässe oder stillschweigende Zustimmung genügt nach dem europäischen Datenschutzrecht nicht (vgl. dazu E. 7.9 hiervor).

8.6.5 In teleologischer Hinsicht ist hervorzuheben, dass der Gesetzgeber in Anbetracht der zur Beurteilung stehenden besonders schützenswerten Personendaten erhöhte Anforderungen an deren Bearbeitung stellen und die Rechte der betroffenen Personen stärken will (E. 8.6.3 hiervor).

Nach der herrschenden Lehre erfüllt eine nur konkludente Zustimmung die Anforderungen an die Ausdrücklichkeit nicht (Baeriswyl, Handkommentar DSG, Art. 6 Rz. 101; Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 322; Fasnacht, a.a.O., Rz. 303; Francey, a.a.O., Art. 6 Rz. 176; Sandra Husi-Stämpfli/Anne Sophie Morand, Datenschutzrecht, 2. Aufl. 2024, S. 162; Daniel Lüthi, Praxiskommentar DSG, Art. 31 Rz. 17; Klaus/Thomann, OFK DSG, Art. 6 Rz. 14; Ursula Uttinger/Thomas Geiser, Das neue Datenschutzrecht, 2023, S. 47). Nach Vasella ist eine Willenserklärung dann als ausdrücklich zu betrachten, wenn sie gerade die Willensäusserung bezweckt und unmittelbar Klarheit über den Willen schafft (David Vasella, Zur Freiwilligkeit und zur Ausdrücklichkeit der Einwilligung im Datenschutzrecht, in: Jusletter 16. November 2015 Rz. 26 m.H.). Als Beispiele für eine ausdrückliche Einwilligung werden insbesondere das Anklicken einer entsprechenden Schaltfläche neben dem Informationstext, das Ankreuzen eines Kästchens bzw. die Aktivierung einer entsprechenden Checkbox und die aktive Auswahl bestimmter technischer Parameter für die Dienste eines Informationsverarbeitungsunternehmens genannt (Klaus/Thomann, OFK DSG, Art. 6 Rz. 45). Nach Auffassung von Epiney ist eine Einwilligung (wohl immer) erst dann ausdrücklich, wenn sowohl ihr Inhalt (als der Bezug einer bestimmten, gegebenenfalls näher präzisierten Datenbearbeitung) als auch die Form ausdrücklich erfolgt (Epiney, Datenschutzrecht 2011, § 9 Rz. 19; gl.M. Fasnacht, a.a.O., Rz. 303, m.H.).

Ein Teil der Lehre vertritt demgegenüber die Auffassung, dass sich die "Ausdrücklichkeit" ausschliesslich auf den Gegenstand der Einwilligung, nicht aber die Art und Weise ihrer Kundgabe beziehe. Die Einwilligungs-erklärung könne deshalb unter Umständen auch konkludent oder sogar stilschweigend erfolgen (Rosenthal, Handkommentar DSG, Art. 4 Rz. 83; Meier, a.a.O., Rz. 897 ff.).

8.6.6 Aus dem Gesagten folgt, dass sowohl der Wortlaut und die Gesetzesmaterialien als auch der Zweck der Bestimmung den Schluss nahelegen, dass die "Ausdrücklichkeit" der Einwilligung nur bejaht werden darf, wenn eine aktive Handlung der betroffenen Person und ihre unmissverständliche Zustimmung zu einer bestimmten, hinreichend klar umschriebenen Datenbearbeitung vorliegen. Eine nur konkludente oder gar stillschweigende Zustimmung genügt in diesem Zusammenhang jedenfalls nicht.

8.7 In der hier zu beurteilenden Konstellation steht fest, dass das Telefongespräch zu Sicherheits- und Wiedererkennungszwecken aufgezeichnet und hiervon auch ein Stimmabdruck erstellt wird, es sei denn, die Kundin bzw. der Kunde widerspreche diesem Vorgehen explizit (Opt-Out-Lösung).

Bei der von der Beschwerdeführerin (mindestens bis Mitte Februar 2026) als Standardlösung gewählten Vorgehensweise wird eine Einwilligung der Kundschaft darin erblickt, dass diese nach entsprechender Information weiterspricht und der Speicherung des Stimmabdrucks nicht aktiv - in Form einer separaten Mitteilung an den Kundenberater oder durch spezielle Änderung auf der Voreinstellung auf der Website der Beschwerdeführerin - widerspricht. Spricht der Kunde bzw. die Kundin weiter, ohne dem standardmässig vorgesehenen Verfahren explizit zu widersprechen, geht die Beschwerdeführerin von einer Zustimmung aus. Bei dieser Vorgehensweise mangelt es allerdings an der vom Gesetzgeber geforderten Ausdrücklichkeit, denn im Vorgang des Weitersprechens kann keine ausdrückliche, auf die Speicherung des Stimmabdrucks gerichtete Zustimmung erblickt werden.

8.8 Was die Beschwerdeführerin dagegen einwendet, vermag nicht zu überzeugen. Die betroffene Person stimmt mit ihrem (blossen) Weitersprechen nicht ausdrücklich, sondern allenfalls konkludent einer Speicherung ihres Stimmabdrucks zu. Darin kann trotz vorgängiger Orientierung keine aktive, auf die Erstellung eines Stimmabdrucks zielende Willenserklärung erblickt werden.

Dass in strafrechtlicher Hinsicht eine konkludente Zustimmung für den Ausschluss der Tatbestandsmässigkeit des Verhaltens genügt (vgl. dazu E. 7.8 hiervor), ist sodann nicht entscheidend, da die spezialgesetzliche Bestimmung von Art. 6 Abs. 7 DSG einerseits unmissverständlich ist und andererseits nicht alles, was in strafrechtlicher Hinsicht nicht ausdrücklich verboten ist, privatrechtlich zulässig ist.

8.9 Daraus folgt, dass die Erstellung des Stimmabdrucks nach der hier zur beurteilenden (laut Angaben der Beschwerdeführerin jedenfalls bis zum 15. Februar 2026 angewandten) Praxis als Persönlichkeitsverletzung einzustufen ist und gegen die gesetzlichen Voraussetzungen für eine rechtsgültige Einwilligung im Sinne von Art. 6 Abs. 7 DSG verstösst. Ob die von der Beschwerdeführerin laut ihren Angaben ab dem 16. Februar 2026 neu praktizierte Lösung die Vorgaben der Vorinstanz vollumfänglich umsetzt, ist nicht Gegenstand des vorliegenden Beschwerdeverfahrens und wird von der Vorinstanz in einem separaten Aufsichtsverfahren zu prüfen sein, falls sie weiterhin angewendet wird. Damit steht fest, dass die Beschwerdeführerin Personendaten ohne ausdrückliche Einwilligung und damit entgegen den Grundsätzen von Art. 6 Abs. 7 DSG bearbeitet hat; darin liegt eine Persönlichkeitsverletzung (Art. 30 Abs. 2 Bst. a DSG; Rampini/Harasgama, BSK DSG, Art. 30 Rz. 11, S. 627).

9.

9.1 Eine Persönlichkeitsverletzung ist widerrechtlich, wenn sie nicht durch Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist (Art. 31 Abs. 1 DSG; Rampini/Harasgama, BSK DSG, Art. 31 Rz. 1). Nachfolgend ist demnach zu prüfen, ob Rechtfertigungsgründe gemäss Art. 31 DSG vorliegen.

Ob eine Persönlichkeitsverletzung gerechtfertigt werden kann, ist u.a. durch Abwägung der privaten Interessen an der Datenbearbeitung mit den Interessen der betroffenen Person am Schutz der Persönlichkeit und an der Verfügungsfreiheit zu ermitteln. Im Rahmen der Rechtfertigungsgründe bedarf es somit einer Interessenabwägung (vgl. Urteil des BVGer A-2941/2024 vom 6. Oktober 2025 E. 5.3; Rampini/Harasgama, BSK DSG, Art. 30 Rz. 1 f. und Art. 31 Rz. 22). Bei der Interessenabwägung sind die konkreten Interessen zu ermitteln und diese mithilfe rechtlich ausgewiesener Massstäbe zu beurteilen und zu optimieren, so dass sie mit Rücksicht auf die Beurteilung, die ihnen zuteil wurde, im Entscheid möglichst umfassend zur Geltung gebracht werden können (Urteil A-2941/2024 E. 5.3 und E. 6.2-6.4; Tschannen/Müller/Kern, Allgemeines Verwaltungsrecht, 5. Aufl. 2022, S. 242). Die Beweislast für das Vorliegen eines Rechtfertigungsgrundes trifft nach den allgemeinen Beweislastregeln des Art. 8 ZGB die Person, die sich auf den Rechtfertigungsgrund beruft, also den Datenbearbeiter (vgl. Monika Pfaffinger, Handkommentar DSG, Art. 31 Rz. 11; Rampini/Harasgama, BSK DSG, Art. 31 Rz. 1).

9.2 Nach der Rechtsprechung zu Art. 12 Abs. 2 Bst. a aDSG wurde eine Rechtfertigung einer Persönlichkeitsverletzung nur mit grosser Zurückhaltung angenommen (BGE 147 IV 16 E. 2.3; 138 II 346 E. 7.1; 136 II 508 E. 5.2.4; Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 12). An diesem Grundsatz hat die Totalrevision des DSG nichts geändert. Die restriktive Rechtfertigungsfähigkeit gilt auch für die Einwilligung (Pfaffinger, Handkommentar DSG, Art. 31 Rz. 9 und Rz. 28). Zu berücksichtigten sind dabei die Umstände des Einzelfalls, darunter der Umfang der verarbeiteten Daten, der systematische und unbestimmte Charakter der Verarbeitung sowie der Kreis der Personen, die Zugriff auf die Daten haben (vgl. BGE 138 II 346 E. 7.2 und 8, S. 358 ff.).

9.3 Werden Personendaten über die Vertragspartnerin oder den Vertragspartner in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags bearbeitet, kann hierin ein überwiegendes privates Interesse liegen (Art. 31 Abs. 2 Bst. a DSG). Von dieser Bestimmung kann jede Bearbeitungshandlung im Sinne von Art. 5 Bst. d DSG erfasst sein. Die Bearbeitungshandlungen müssen in diesem Zusammenhang verhältnismässig, das heisst namentlich auch erforderlich sein (Pfaffinger, Handkommentar DSG, Art. 31 Rz. 54; Rudin/Vasella, a.a.O, S. 191; vgl. dazu auch Steiner/Laux, OFK DSG, Art. 31 Rz. 23, die eine Berücksichtigung des Kriteriums der Erforderlichkeit bei der Interessenabwägung befürworten).

9.4 Die Einhaltung des Verhältnismässigkeitsgrundsatzes im Sinne von Art. 6 Abs. 2 DSG gebietet, dass eine Datenbearbeitung nur so weit gehen darf, wie dies für den verfolgten Zweck geeignet, erforderlich und für die betroffene Person zumutbar ist (Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 53; Fanger, OFK DSG, Art. 6 Rz. 6). Die Datenbearbeitung muss für die Erreichung des Bearbeitungszwecks geeignet sein. Dies trifft von vornherein nicht zu, wenn die Datenbearbeitung "auf Vorrat" erfolgt (Astrid Epiney/Daniela Nüesch/Sophia Rovelli, Datenschutzrecht in der Schweiz, 2023, S. 92 m.H.; 125 II 473 E. 4b). Die Datenbearbeitung muss darüber hinaus für die Erreichung des verfolgten Zwecks erforderlich sein, das heisst das mildeste Mittel zur Zielerreichung darstellen. Erforderlich muss auch die Intensität der Datenbearbeitung sein. Aus dem Kriterium der Erforderlichkeit leiten sich einerseits die Grundsätze der Datenvermeidung und der Datensparsamkeit ab. Es ist jene Option zu bevorzugen, bei welcher der Zweck erreicht werden kann, ohne dass neue Daten beschafft werden. Zudem sollen nur Daten bearbeitet werden, die für den verfolgten Zweck absolut notwendig sind. Schliesslich muss die Datenbearbeitung für die betroffenen Personen mit Blick auf den angestrebten Zweck und die Mittel zumutbar sein (Botschaft DSG-Revision 2017, S. 7024; Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 53; Fanger, OFK DSG, Art. 6 Rz. 6).

Bei der Prüfung der Verhältnismässigkeit ist stets auch die Interessenlage der Betroffenen zu berücksichtigen (Baeriswyl, Handkommentar DSG, Art. 6 Rz. 32). Ob eine Bearbeitung von Personendaten dem Grundsatz der Verhältnismässigkeit gerecht wird, ist im Einzelfall nach objektiven Kriterien zu beurteilen (vgl. Bühlmann/Reinle, BSK DSG, Art. 6 Rz. 54; Rosenthal, Handkommentar DSG, Art. 4 Rz. 22).

Die Prüfung der Rechtfertigungsgründe steht in einem engen Zusammenhang mit der Beurteilung der Verhältnismässigkeit der Datenbearbeitung nach Art. 6 Abs. 2 DSG, so dass es sich im Einzelfall - so auch hier - als sinnvoll erweisen kann, die Verhältnismässigkeit im Rahmen der Interessenabwägung zu prüfen (BGE 138 II 346 E. 9.3; 136 II 508 E. 5.2.5 und 5.2.6; Urteil des BVGer A-3144/2008 vom 27. Mai 2009 E. 11.4).

9.5

9.5.1 Die Beschwerdeführerin beruft sich zu Recht nicht mehr explizit auf die Rechtfertigungsgründe der gesetzlichen Grundlage und des öffentlichen Interesses (vgl. dazu Rz. 33 der Verfügung). Zum einen kann weder in der Wahrung des Bankgeheimnisses gemäss Art. 47 Abs. 1 des Bundesgesetzes über die Banken und Sparkassen (Bankengesetz, BankG; SR 952.0) noch in der Pflicht zur Gewährleistung einer angemessenen Datensicherheit (Art. 8 Abs. 1 DSG) eine Rechtfertigung für die Erstellung eines Stimmabdrucks erblickt werden. Zum andern ist auch nicht ersichtlich und wird von der Beschwerdeführerin auch nicht substanziiert dargelegt, inwiefern öffentliche Interessen die Persönlichkeitsverletzungen zu rechtfertigen vermöchten. Eine Rechtfertigung der Persönlichkeitsverletzung durch Gesetz oder öffentliche Interessen fällt demnach ausser Betracht. Zudem entfällt der Rechtfertigungsgrund der Einwilligung, da es nach dem Gesagten (E. 8.7-8.9 hiervor) an den Voraussetzungen für eine rechtsgültige Zustimmung mangelt.

9.5.2 Zu klären bleibt, ob überwiegende private Interessen bestehen, die eine Persönlichkeitsverletzung zu rechtfertigen vermögen. Für die erforderliche Interessenabwägung sind in einem ersten Schritt die berührten Interessen zu ermitteln.

Was das private Datenbearbeitungsinteresse der Beschwerdeführerin betrifft, können grundsätzlich alle schützenswerten Interessen an der Datenbearbeitung berücksichtigt werden, das heisst alle "Interessen von allgemein anerkanntem Wert". Ob der Datenbearbeiter ein schützenswertes Interesse verfolgt, hängt vom Zweck der Datenbearbeitung ab (vgl. Rampini/Harasgama, BSK DSG, Art. 31 Rz. 24). In erster Linie fallen dabei Interessen des Datenbearbeiters oder Inhabers der Datensammlung in Betracht. Aber auch Interessen von Dritten oder sogar der betroffenen Personen selbst können die Datenbearbeitung unter Umständen rechtfertigen. Im Vordergrund kann insbesondere das Interesse an der Bekämpfung von Missbräuchen im Zusammenhang mit rechtswidrigen Transaktionen auf Kundenkonten stehen. Auch rein wirtschaftliche Interessen, wie beispielsweise das Interesse daran, eine Datenbearbeitung möglichst effizient zu gestalten oder die eigenen Geschäftsabläufe zu optimieren, zählen grundsätzlich dazu. Ebenso kann Gewinnstreben ein schützenswertes Interesse darstellen (BGE 138 II 346 E. 10.3 i.f.; Urteil des BVGers A-4232/2015 vom 18. April 2017 E. 5.4.2; Rosenthal, Handkommentar DSG, Art. 13 Rz. 10).

9.5.3 Berührt sind im konkreten Fall einerseits der Persönlichkeitsschutz (Diskretions- und Integritätsinteresse) und die Verfügungsfreiheit der betroffenen Person, das heisst das Interesse, nicht in der Persönlichkeit verletzt zu werden (Datenschutzinteresse). Im Vordergrund stehen dabei das Interesse am Schutz vor dem Sammeln beliebig vieler biometrischer Daten, die zuverlässige Verhinderung der Nutzung der Daten für einen anderen als den angeführten Zweck respektive deren Verwendung durch nicht legitimierte Dritte sowie die Gewährleistung einer angemessenen Datensicherheit und einer hohen Transparenz.

Anderseits werden von Seiten der Beschwerdeführerin die Interessen bezüglich der Erfüllung und Gewährleistung ihrer vertraglichen Verpflichtungen, der Steigerung der Effizienz (im Vergleich zur Alternative der Sicherheitsfragen) sowie der Verbesserung der Datensicherheit vorgebracht.

9.6 In einem nächsten Schritt sind die berührten Interessen zu bewerten.

9.6.1 Die Beschwerdeführerin beruft sich zur Rechtfertigung zunächst darauf, dass die Bearbeitung der Personendaten in einem unmittelbaren Zusammenhang mit der Vertragserfüllung stehe. Ihre Allgemeinen Geschäftsbedingungen sähen vor, dass sie sich technischer und organisatorischer Mittel zur Erkennung und Verhinderung von Missbräuchen bediene. Die Bearbeitung von Daten zur Erkennung von Betrugsversuchen stelle einen wichtigen Grund dar.

Die Bearbeitung der Personendaten erfolgt beim hier zu beurteilenden Sachverhalt ausschliesslich im Zusammenhang mit einem Vertragsverhältnis der Kundschaft mit der Beschwerdeführerin. Die Voraussetzungen für die Anwendung von Art. 31 Abs. 2 Bst. a DSG sind demnach erfüllt. Überwiegende schützenswerte Interessen des Bearbeiters sollten jedoch nicht vorschnell angenommen werden. So dürfen nur gewichtige Interessen an der Datenbearbeitung höher bewertet werden als die Datenschutzinteressen der betroffenen Person (BGE 136 II 508 E. 5.2.4).

Zunächst steht das Interesse der Beschwerdeführerin an der Gewährleistung einer möglichst hohen, dem aktuellen Stand der Technik entsprechenden Sicherheit des Kontos vor Betrugsversuchen und missbräuchlicher Verwendung im Vordergrund (Ziff. 2 der Allgemeinen Geschäftsbedingungen der PostFinance AG, Version August 2024; Beilage 21 zu BVGer-act. 1). Dieses deckt sich mit dem entsprechenden Interesse der Kundschaft. Diesem Interesse ist grundsätzlich ein hohes Gewicht beizumessen. Allerdings gilt es zu beachten, dass das von der Beschwerdeführerin eingesetzte Authentifizierungsverfahren nicht von vornherein als sicherer gewertet werden kann als alternative Möglichkeiten der Authentifizierung, wie Telefonnummernüberprüfung, Beantwortung von Sicherheitsfragen, PIN, Passwortschutz und insbesondere die Multi-Faktor-Authentifizierung. Konkrete Beweismittel für den Nachweis, dass das zur Diskussion stehende Verfahren des Stimmabdrucks eine bedeutsam höhere Sicherheit als alternative Verfahren, wie insbesondere eine Zwei- oder Mehrfaktor-Authentifizierung, gewährleisten würde, werden von der Beschwerdeführerin nicht eingereicht oder bezeichnet. Entsprechend ist der Grad der Schutzwürdigkeit des Sicherheitsinteresses zu relativieren und insgesamt als mittel einzustufen.

9.6.2 Weiter hat die Beschwerdeführerin plausibel dargelegt, dass die Authentifizierung mittels Stimmabdrucks im Vergleich zur Beantwortung von Sicherheitsfragen effizienter und insgesamt auch wirtschaftlicher ist. Das Interesse an der Erhöhung der Effizienz und der Wirtschaftlichkeit ist bei privaten, gewinnorientierten Unternehmen regelmässig zentral. Den Interessen der Effizienz und Gewinnoptimierung kann eine mittlere Schutzwürdigkeit beigemessen werden.

In diesem Zusammenhang ist darauf hinzuweisen, dass das Kriterium der Erforderlichkeit entgegen der Argumentation der Vorinstanz (Rz. 30 und 39 der angefochtenen Verfügung) nicht mit der Begründung verneint werden darf, der Einsatz biometrischer Mittel komme erst in Betracht, wenn keine alternativen Authentifizierungsmethoden wie das Stellen von Sicherheitsfragen zur Verfügung stünden. Denn im konkreten Fall hat die Beschwerdeführerin plausibel begründet, dass das Verfahren über die Authentifizierung mittels Stimmabdrucks effizienter und wirtschaftlicher ausfällt. Von daher handelt es sich diesbezüglich bei der Authentifizierung mittels Sicherheitsfragen nicht um eine gleichermassen geeignete Massnahme. Die Massnahme kann folglich nicht mit der Begründung der fehlenden (sachlichen) Erforderlichkeit untersagt werden (vgl. zum Kriterium der sachlichen Erforderlichkeit: Pierre Tschann/Markus Müller/Markus Kern, Allgemeines Verwaltungsrecht, 5. Aufl. 2022, Rz. 460 f.). Sofern die weiteren Bearbeitungsgrundsätze nach Art. 6 und 8 DSG gewahrt sind und die gesetzlichen Vorgaben für die Einholung einer rechtsgültigen Einwilligung (Art. 6 Abs. 7 DSG) eingehalten werden, darf der Beschwerdeführerin somit nicht unter Hinweis auf den Grundsatz der Verhältnismässigkeit bzw. die fehlende Erforderlichkeit ein vollständiger Verzicht auf die Bearbeitung biometrischer Daten auferlegt werden.

9.6.3 Dem Bearbeitungsinteresse steht auf der anderen Seite das Interesse am Schutz der Persönlichkeit und an der Verfügungsfreiheit der betroffenen Personen entgegen. Diese Interessen sind per se schützenswert, doch hängt der Grad der Schutzwürdigkeit von verschiedenen Faktoren wie der Sensitivität der bearbeiteten Personendaten, dem Verletzungspotenzial der Datenbearbeitung und der Schwere der aus der Bearbeitung möglicherweise resultierenden Persönlichkeitsverletzung ab (vgl. Rampini/Harasgama, BSK DSG, Art. 31 Rz. 25 f.). Die Bearbeitungshandlungen sollten auch in diesem Zusammenhang verhältnismässig sein (Pfaffinger, Handkommentar, Art. 31 Rz. 54; a.M. Rosenthal, Handkommentar DSG, Art. 13 Rz. 39).

In Anbetracht der zur Diskussion stehenden besonders sensitiven Daten, des schweren Eingriffs in den höchstpersönlichen Bereich sowie der Schaffung eines dauerhaften Identifikators, der ohne Mitwirkungs- und damit ohne wirksame Kontrollmöglichkeiten der betroffenen Personen in Zukunft eingesetzt werden kann, kommt den Interessen an einer hohen Transparenz und am wirksamen Schutz der Persönlichkeit ein sehr grosses Gewicht zu.

Aus Sicht der betroffenen Personen ist auch der Grundsatz der Datensicherheit von zentraler Bedeutung.

9.7 Mit Blick auf die vorstehend dargelegten Aspekte ist die Abwägung der Interessen vorzunehmen.

Die Bewertung der Interessen ergibt, dass den Interessen des Schutzes der Persönlichkeit und der Verfügungsfreiheit der betroffenen Personen ein hohes Gewicht zukommt. Mit der Revision hat der Gesetzgeber zudem - insbesondere im Zusammenhang mit der Bearbeitung biometrischer Daten - eine Verstärkung des Schutzes der Persönlichkeit beabsichtigt.

Zu beachten ist überdies, dass eine Rechtfertigung einer Persönlichkeitsverletzung rechtsprechungsgemäss nur mit grosser Zurückhaltung angenommen wird. Dies gilt es namentlich auch im Zusammenhang mit der gesetzlich geforderten "Ausdrücklichkeit" der Einwilligung zu beachten. Würde ohne Vorliegen sehr gewichtiger Interessen leichthin eine Rechtfertigung angenommen, könnte auf diesem Weg der vom Gesetzgeber beabsichtigte Schutz der Persönlichkeit unter Anrufung von privaten Interessen unterlaufen werden.

Hinzu kommt, dass die Beschwerdeführerin die aus Sicht der Kundschaft transparentere und weniger aufwändige Opt-In-Lösung im Jahr 2018 anerkanntermassen während rund zwei Monaten bereits einmal eingeführt hatte (vgl. Rz. 6 der angefochtenen Verfügung; Schreiben der Beschwerdeführerin vom 13. Juni 2019; act. 2) und danach - für inländische Kundinnen und Kunden - wieder zur Opt-Out-Lösung wechselte. Dies, obwohl ihr das von der Vorinstanz geforderte höhere Schutzniveau bewusst war. Stattdessen hat sie sich für eine aus unternehmerischer Sicht zwar effizientere und wirtschaftlichere, aber aus Kundenoptik weniger transparente Lösung entschieden.

9.8 Die Abwägung der dargelegten Interessen führt zum Ergebnis, dass die Persönlichkeitsverletzung nicht gerechtfertigt werden kann. Das bis zum 15. Februar 2026 eingesetzte Verfahren stellt eine widerrechtliche Persönlichkeitsverletzung der betroffenen Personen dar.

9.9 Nicht beachtlich ist das im vorinstanzlichen Verfahren noch geltend gemachte Interesse an der Gleichbehandlung mit den ausländischen Kundinnen und Kunden aus dem räumlichen Anwendungsbereich der Europäischen Union. Unterschiedliche rechtliche Grundlagen stellen zweifelsohne einen legitimen Grund für eine differenzierte Behandlung dar.

10. Streitig und zu prüfen ist bei diesem Ergebnis, ob die vorhandenen, widerrechtlich erstellten Personendaten zu löschen sind.

10.1 Liegt eine Verletzung von Datenschutzvorschriften vor, so kann die Vorinstanz verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und die Personendaten ganz oder teilweise gelöscht oder vernichtet werden (Art. 51 Abs. 1 DSG).

Die Verfügung der Vorinstanz ist auf die Wiederherstellung des datenschutzkonformen Zustandes bzw. die Einhaltung der Datenschutzvorschriften im Einzelfall gerichtet (Lena Götzinger/Isabelle Hanselmann, BSK DSG, Art. 51 Rz 21). Der Vorinstanz kommt bei der Anordnung der einzelnen Massnahmen ein erheblicher Ermessensspielraum zu. Sie hat diese indes konkret zu bezeichnen und zu begründen sowie den Grundsatz der Verhältnismässigkeit zu wahren (Baeriswyl, Handkommentar DSG, Art. 51 Rz. 8; Götzinger/Hanselmann, BSK DSG, Art. 51 Rz 22 f.).

10.2

10.2.1 Die Beschwerdeführerin macht zunächst geltend, die Einwilligungen, welche die Anforderungen des alten DSG erfüllt hätten, seien auch nach Inkrafttreten der Revision des DSG vom 1. September 2023 weiterhin gültig. Entscheidend sei allein, dass die Einwilligung den Zweck der Bearbeitung abdecke, für den sie als Rechtfertigungsgrund dienen soll. Die Bearbeitung habe sich in den Jahren seit 2018 nie geändert.

10.2.2 Nach der Übergangsbestimmung von Art. 70 DSG ist für die nach dem Inkrafttreten des DSG eröffneten Untersuchungen des EDÖB grundsätzlich das revidierte DSG anzuwenden (vgl. E. 6 hiervor); es wird im Grundsatz von der sofortigen Anwendbarkeit des neuen DSG ausgegangen. In intertemporalrechtlicher Hinsicht ist überdies zu beachten, dass die Bearbeitung der vor dem 1. September 2023 erhobenen Daten mit deren Aufbewahrung bzw. Speicherung zum Zweck des Stimmenvergleichs nach wie vor andauert (vgl. dazu Art. 5 Bst. d DSG) und auch in Zukunft andauern wird. Die Anwendung neuen Rechts auf zeitlich offene Dauersachverhalte ist dabei grundsätzlich zulässig (vgl. BGE 148 II 1 E. 5.1; 133 II 97 E. 4.1; vgl. dazu auch Urteile des BVGer A-484/2024 vom 20. Juni 2025 E. 6.1 und A-6543/2018 vom 24. März 2020 E. 5.5.1). Aus dem vorstehend Gesagten (E. 8.6.3 hiervor) geht schliesslich hervor, dass der Gesetzgeber mit dem Erfordernis der Ausdrücklichkeit die Anforderungen an eine rechtsgültige Zustimmung im Interesse des verstärkten Schutzes der Persönlichkeit und der Transparenz bei der Bearbeitung biometrischer Daten wesentlich verbessern will. Diese Verbesserungen sollen nach der Konzeption des Gesetzgebers ab dem Inkrafttreten des neuen DSG gelten, es sei denn, besondere gesetzliche Übergangsbestimmungen (wie etwa Art. 69 DSG) würden eine Abweichung von diesem Grundsatz gebieten.

Vor diesem Hintergrund, insbesondere in Anbetracht der erhöhten Anforderungen des revidierten Rechts an das Vorliegen einer rechtsgültigen Einwilligung sowie der Fortsetzung der Bearbeitung der Daten, haben die unter dem Regime des alten DSG eingeholten Zustimmungen keine Geltung mehr. Vielmehr ist für die weitere Bearbeitung dieser Daten eine ausdrückliche Einwilligung, bezogen auf das heute gültige Recht, erforderlich.

Nur nebenbei sei bemerkt, dass die Beschwerdeführerin selbst einräumte, die nach altem Recht erhobenen Stimmabdrücke zu löschen, wenn innert 12 Monaten nach Einführung der NSRL keine ausdrückliche Einwilligung der Kundschaft vorliege (Rz. 58 der Beschwerdeschrift).

10.3

10.3.1 Zu beurteilen ist in einem nächsten Schritt, ob die von der Vorinstanz angeordnete Löschung der Stimmabdrücke, bei denen keine ausdrückliche Einwilligung der betroffenen Person vorliegt, verhältnismässig ist.

10.3.2 Die Verfügung der Vorinstanz zielt auf eine Wiederherstellung eines datenschutzkonformen Zustandes ab. Da hier bereits erstellte Stimmabdrücke zu beurteilen sind, fallen die Optionen der Anpassung, des Unterbruchs oder Abbruchs der Bearbeitung von vornherein ausser Betracht. Nachdem sämtliche Verfahren ohne rechtsgültige Einwilligung den Anforderungen des DSG widersprechen, fällt selbstredend auch eine Teillöschung ausser Betracht. Folglich erweist sich eine Löschung sämtlicher noch vorhandenen (vgl. E. 10.2.2), ohne rechtsgültige Einwilligung bearbeiteten Personendaten als grundsätzlich notwendig.

10.3.3 Zu prüfen gilt es unter dem Aspekt der Verhältnismässigkeit, ob der Beschwerdeführerin die Möglichkeit einzuräumen ist, bei den betroffenen Personen nachträglich eine ausdrückliche Einwilligung einzuholen.

Die herrschende Lehre geht davon aus, dass die Einwilligungserklärung vor respektive mit der ersten Datenbearbeitung zu erfolgen hat (Bühlmann/Reinle, BSK DSG, Art. 6 Rz 299: Klaus/Thomnann, OFK DSG, Art. 6 Rz. 16; Rosenthal, Handkommentar DSG, Art. 6 Rz. 113; Uttinger/Geiser, a.a.O., S. 45 Rz. 2.86). Ein wesentlicher Teil der Lehre ist allerdings der Ansicht, dass eine Verletzung der Persönlichkeit durch eine spätere Genehmigung von der betroffenen Person insofern geheilt oder gerechtfertigt werden kann, als dadurch ein Verzicht auf die Geltendmachung von Ansprüchen aus der Persönlichkeitsverletzung zum Ausdruck gebracht wird. Mit der nachträglichen Einwilligung entfalle das Interesse der betroffenen Person, das der vorgängigen Datenbearbeitung entgegenstehen könnte (Epiney, Datenschutzrecht, § 9 Rz. 17; Klaus/Thomnann, OFK DSG, Art. 6 Rz. 17; Meier, a.a.O., Rz. 845; Meier/Tschumy, Commentaire Romand LPD, Art. 6 Rz. 76; Uttinger/Geiser, a.a.O., S. 45 Rz. 2.86; gl.M. auch Baeriswyl, Handkommentar DSG, Art. 6 Rz. 85; Fasnacht, a.a.O. Rz. 253; differenzierter Rosenthal, Handkommentar DSG, Art. 6 Rz. 113, der davon ausgeht, dass eine nachträgliche Einwilligung "allenfalls einen Verzicht auf die Geltendmachung von Ansprüchen aufgrund der Persönlichkeitsverletzung darstellen" könne).

Die nachträgliche Einholung einer ausdrücklichen Einwilligung ist im konkreten Fall geeignet und auch hinreichend, um den datenschutzkonformen Zustand wiederherzustellen. Aus Gründen der Verhältnismässigkeit ist der Beschwerdeführerin deshalb eine Frist anzusetzen, in welcher sie eine ausdrückliche Einwilligung der Kundinnen und Kunden einzuholen hat.

10.3.4 Bei der Bemessung der Frist für die nachträgliche Einholung der ausdrücklichen Einwilligung fällt auf der einen Seite das Interesse der betroffenen Personen an einer möglichst raschen Herstellung des datenschutzkonformen Zustands ins Gewicht. Auf der anderen Seite gilt es zu berücksichtigen, dass für die von der Beschwerdeführerin in die Wege zu leitende Organisation und Umsetzung des entsprechenden Prozesses zwar eine angemessene Frist einzuräumen ist. Dabei ist jedoch zu beachten, dass sie ihren Angaben zufolge die NSRL bereits seit Mitte Februar 2026 eingeführt hat. Hinzu kommt, dass sie sich während der Dauer des Beschwerdeverfahrens bereits mit der Planung der Modalitäten der nachträglichen Einholung der Einwilligung hat auseinandersetzen können.

Unter Berücksichtigung der dargelegten Kriterien erscheint eine Frist bis zum 15. Februar 2027 für die Wiederherstellung des datenschutzkonformen Zustandes hinreichend und angemessen. Damit wird dem Antrag der Beschwerdeführerin auf Einräumung einer angemessenen, einjährigen Übergangsfrist zur vollständigen Einführung der NSRL (vgl. dazu Rz. 58 der Beschwerdeschrift; Rz. 7 f. der Eingabe vom 3. März 2026) vollumfänglich entsprochen. Sofern und soweit innert dieser Frist keine Belege für die ausdrückliche Einwilligung vorliegen, hat die Beschwerdeführerin die Stimmabdrücke umgehend zu löschen.

11. Zusammengefasst folgt aus dem Gesagten, dass das neue DSG für die Bearbeitung biometrischer Daten und damit auch für die Speicherung von Stimmabdrücken eine ausdrückliche Einwilligung der betroffenen Personen voraussetzt. Bei der von der Beschwerdeführerin bisher praktizierten Opt-Out-Lösung mangelt es an der vom Gesetzgeber geforderten Ausdrücklichkeit der Einwilligung, denn im blossen Weitersprechen kann - selbst bei vorgängiger Information über die vorgesehene Aufnahme des Gesprächs zu Sicherheits- und Wiedererkennungszwecken wie auch die Erstellung eines Stimmabdrucks - keine ausdrückliche, auf die Speicherung des Stimmabdrucks gerichtete Zustimmung erblickt werden. Es bestehen keine hinreichenden privaten oder öffentlichen Interessen, welche die Persönlichkeitsverletzungen zu rechtfertigen vermöchten. Die Beschwerdeführerin ist demnach zu verpflichten, von den betroffenen Personen bei der Erstellung von Stimmabdrücken zur Authentifizierung durch Stimmerkennung eine ausdrückliche Einwilligung einzuholen. Darüber hinaus ist sie zu verpflichten, diejenigen Stimmabdrücke zu löschen, bei welchen keine ausdrückliche Einwilligung der betroffenen Person vorliegt. Dispositiv-Ziff. 1 und 2 der angefochtenen Verfügung sind demnach zu schützen.

Im Hinblick auf die Herstellung eines datenschutzkonformen Zustandes wären die Stimmabdrücke grundsätzlich zu löschen. Allerdings gebietet der Grundsatz der Verhältnismässigkeit, der Beschwerdeführerin eine angemessene Nachfrist anzusetzen, innert welcher sie eine ausdrückliche Einwilligung der Kundinnen und Kunden einholen kann. Diese wird auf den 15. Februar 2027 angesetzt. Daraus folgt, dass die Beschwerde teilweise gutzuheissen und Dispositiv-Ziff. 3 der angefochtenen Verfügung dahingehend abzuändern ist, dass das Datum der Umsetzung der Dispositiv-Ziffern 1 und 2 auf den 15. Februar 2027 festzusetzen ist (Satz 1) und der 2. Satz von Dispositiv-Ziffer 3 aufgehoben wird, womit eine Erstreckung dieser Frist durch den EDÖB ausgeschlossen wird. Die Beschwerdeführerin ist damit zu verpflichten, einzig diejenigen Stimmabdrücke zu löschen, bei denen sie bis zum 15. Februar 2027 nicht über eine ausdrückliche Einwilligung der betroffenen Kundinnen und Kunden verfügt. Im Übrigen ist die Beschwerde abzuweisen.

12. Es bleibt, über die Kosten- und Entschädigungsfolgen des Beschwerdeverfahrens zu entscheiden.

12.1 Gemäss Art. 63 Abs. 1 VwVG hat in der Regel die unterliegende Partei die Verfahrenskosten zu tragen; unterliegt sie nur teilweise, werden die Kosten ermässigt. Unterliegenden Bundesbehörden werden keine Kosten auferlegt (vgl. Art. 63 Abs. 2 VwVG).

12.2 Die Spruchgebühr, welche sich nach Umfang und Schwierigkeit der Sache, Art der Prozessführung und finanzieller Lage der Parteien richtet, beträgt in Streitigkeiten ohne Vermögensinteresse in der Regel zwischen Fr. 100.- und Fr. 5'000.- (Art. 63 Abs. 4bis Bst. a VwVG). Die Verfahrenskosten sind aufgrund des Umfangs und der Komplexität der Streitsache. auf Fr. 3'000.- festzusetzen.

Die Beschwerdeführerin unterliegt mit ihren Anträgen auf vollständige Aufhebung der angefochtenen Verfügung und Abschreibung des vorinstanzlichen Verfahrens infolge Gegenstandslosigkeit. Als obsiegend gilt sie insoweit, als ihrem Begehren um Ansetzung einer Nachfrist zur Einholung von ausdrücklichen Einwilligungen entsprochen wird und eine Löschung der Daten erst zu erfolgen hat, sofern und soweit sie die ausdrückliche Zustimmung der betroffenen Personen nicht innert dieser Frist erhältlich machen kann. Unter Berücksichtigung des Verfahrensausgangs und der Heilung des Verfahrensmangels werden der Beschwerdeführerin die Verfahrenskosten zur Hälfte, das heisst in der Höhe von Fr. 1'500.-, auferlegt. Dieser Betrag ist dem Kostenvorschuss von Fr. 30'000.- zu entnehmen. Der Restbetrag von Fr. 28'500.- wird ihr nach Eintritt der Rechtskraft des vorliegenden Urteils zurückerstattet. Der Vorinstanz sind als Bundesbehörde keine Kosten aufzuerlegen.

12.3 Der obsiegenden Partei ist von Amtes wegen oder auf Begehren eine Entschädigung für die ihr erwachsenen notwendigen Kosten zuzusprechen (vgl. Art. 64 Abs. 1 VwVG i.V.m. Art. 7 Abs. 1 des Reglements über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE; SR 173.302.2]). Obsiegt sie nur teilweise, ist die Parteientschädigung entsprechend zu kürzen (vgl. Art. 7 Abs. 2 VGKE). Bundesbehörden haben keinen Anspruch auf eine Parteientschädigung (vgl. Art. 7 Abs. 3 VGKE).

Die Rechtsvertreter der Beschwerdeführerin haben keine Kostennote eingereicht. Der notwendige Vertretungsaufwand lässt sich indes aufgrund der Aktenlage hinreichend zuverlässig abschätzen, weshalb praxisgemäss auf die Einholung einer solchen verzichtet wird (Art. 14 Abs. 2 VGKE). In Anwendung der genannten Bestimmungen und unter Berücksichtigung der massgeblichen Bemessungsfaktoren (Art. 8 ff. VGKE) ist die Parteientschädigung von Amtes wegen auf Fr. 10'000.- (inklusive Auslagen und MwSt) festzusetzen. Nach dem Grad des Durchdringens ist der Betrag zu reduzieren. Die von der Vorinstanz auszurichtende Parteientschädigung beträgt damit Fr. 5'000.-.

(Das Dispositiv befindet sich auf der nächsten Seite.)

Demnach erkennt das Bundesverwaltungsgericht:

1. Die Beschwerde wird teilweise gutgeheissen.

Das Datum in Satz 1 von Dispositiv-Ziff. 3 der angefochtenen Verfügung wird auf den 15. Februar 2027 abgeändert. Satz 2 von Dispositiv-Ziff. 3 der angefochtenen Verfügung wird aufgehoben. Im Übrigen wird die Beschwerde abgewiesen.

2. Der Beschwerdeführerin werden Verfahrenskosten von Fr. 1'500.- auferlegt. Der einbezahlte Kostenvorschuss wird zur Bezahlung der Verfahrenskosten verwendet. Der Restbetrag von Fr. 28'500.- wird ihr nach Eintritt der Rechtskraft des vorliegenden Urteils zurückerstattet.

3. Die Vorinstanz hat der Beschwerdeführerin eine Parteientschädigung von Fr. 5'000.- zu bezahlen.

4. Dieses Urteil geht an die Beschwerdeführerin und die Vorinstanz.

Für die Rechtsmittelbelehrung wird auf die nächste Seite verwiesen.

Die vorsitzende Richterin:

Der Gerichtsschreiber:

Christine Ackermann

Roland Hochreutener

Rechtsmittelbelehrung:

Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 BGG). Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).

Versand:

Zustellung erfolgt an:

- die Beschwerdeführerin (Gerichtsurkunde)

- die Vorinstanz (Ref-Nr. EDÖB-[...]; Gerichtsurkunde)